# Harbor v2.16.0

> Storage & Data · 2026-11-09

다중 아키텍처 지원과 proxy-cache 및 API 기능이 확대되고, 구성 기본값과 컴포넌트 이미지가 갱신된 유지보수 릴리스입니다. 보안 취약점과 로그 정보 노출, 토큰 검증 문제를 포함한 여러 정확성 문제도 함께 수정했습니다.

## 조치 필요
- **[security]** `Trivy` v0.69.2로 업데이트
  - 공급망 사고에 대응해 `Trivy`를 v0.69.2로 올렸습니다.
- **[security]** `go-jose/go-jose/v4` 업데이트
  - DoS 취약점을 수정하기 위해 `go-jose/go-jose/v4`를 v4.1.4로 올렸습니다.
- **[security]** SQL 삽입 문제 수정
  - 잠재적인 SQL 삽입 문제를 수정했습니다.
- **[security]** 타이밍 취약점 수정
  - 이론상 가능한 타이밍 취약점을 수정했습니다.
- **[security]** Redis 비밀번호 오류 로그 노출 방지
  - 오류 로그에 Redis 비밀번호가 노출되지 않도록 수정했습니다.
- **[security]** robot 이름 접두사를 이용한 proxy-cache 오염 방지
  - robot 이름 접두사를 이용한 proxy-cache 오염을 막습니다.
- **[security]** Go modules 업데이트
  - 알려진 취약점을 수정하기 위해 `Go modules`를 업데이트했습니다.
- **[security]** npm dependencies 업데이트
  - 남아 있던 취약한 `npm dependencies`를 업데이트했습니다.
- **[security]** Angular packages 업데이트
  - 알려진 취약점을 수정하기 위해 `Angular packages`를 업데이트했습니다.
- **[security]** 디버그 로그의 자격 증명 및 비밀 정보 기록 방지
  - 디버그 로그에 자격 증명과 비밀 정보가 기록되지 않도록 수정했습니다.
- **[security]** 빈 secret 거부
  - 인증 우회를 막기 위해 빈 secret을 거부합니다.
- **[security]** Go dependencies 업데이트
  - CVE를 수정하기 위해 `Go dependencies`를 업데이트했습니다.
- **[breaking]** 구성 감사 로그 payload 제거
  - 구성 감사 로그에서 payload를 제거했습니다.
- **[breaking]** 이전 bearer 토큰 거부
  - 프로젝트가 생성되기 전에 발급된 bearer 토큰을 거부합니다.
- **[breaking]** `PIP_INDEX_URL` 기본값 변경
  - `PIP_INDEX_URL`의 기본값을 https://pypi.org/simple로 설정했습니다.
- **[breaking]** iat 누락 토큰 거부
  - iat가 없는 토큰을 거부합니다.
- **[breaking]** 임시 SBOM 권한 재정의 제거
  - 임시 SBOM 권한 재정의를 제거했습니다.
- **[breaking]** 매니페스트 업로드 크기 제한
  - 매니페스트 업로드 크기에 제한을 추가했습니다.
- **[breaking]** 감사 로그 payload 크기 제한
  - 감사 로그 payload 크기에 제한을 추가했습니다.
- **[breaking]** 사설 네트워크 접근 기본 허용
  - 회귀를 막기 위해 기본적으로 사설 네트워크 접근을 허용합니다.
- **[breaking]** 레거시 서명자 pull 기본 허용
  - 회귀를 막기 위해 기본적으로 레거시 서명자의 pull을 허용합니다.

## 영향 확인
- **[breaking]** GC 추가 속성의 `redis_url_reg` 비공개 처리
  - `redis_url_reg`을 설정한 경우 적용됩니다.
  - GC 추가 속성에서 `redis_url_reg`을 가립니다.
- **[breaking]** 빈 `robot_name_prefix` 거부
  - `robot_name_prefix`를 설정한 경우 적용됩니다.
  - 비어 있는 `robot_name_prefix`를 허용하지 않습니다.
- **[breaking]** 기존 레지스트리의 registries ping URL 제한
  - 기존 레지스트리를 사용하는 경우 적용됩니다.
  - 기존 레지스트리에서는 `/registries/ping`이 저장된 URL만 사용하도록 제한합니다.

## 그 밖에 기록된 변경
- 181 (defect_corrected 80, value_changed 72, added 15, constraint_changed 8, removed 4, renamed 2)

[분석 자세히 보기](https://ratatosk.io/ko/releases/harbor/v2.16.0)

[원본 릴리스 노트](https://github.com/goharbor/harbor/releases/tag/v2.16.0)