# Vitess v24.0.5

> Storage & Data · 2026-10-13

SQL 구문 분석, 권한 검증, 연결 처리를 보완한 보안 중심 유지 보수 릴리스입니다. 사용하는 기능과 설정에 따라 허용되지 않는 값이 생기거나 권한 구성을 조정해야 하는 변경이 포함됩니다.

## 조치 필요
- **[security]** 전역 `SET` 변수 이름 처리 보완
  - 전역 `SET` 변수 이름을 통한 SQL 주입 문제를 수정했습니다. 관련 내용은 `GHSA-m282-7w35-g77m`에 해당합니다.
- **[security]** 날짜 및 시간 리터럴 처리 보완
  - `DATE`, `TIME`, `TIMESTAMP` 리터럴을 통한 SQL 주입 문제를 수정했습니다. 관련 내용은 `GHSA-9248-hccp-qf8f`에 해당합니다.
- **[security]** `SET_VAR` 세션 변수 값 처리 보완
  - `SET_VAR` 힌트에 담긴 세션 변수 값을 통한 SQL 주입 문제를 수정했습니다. 관련 내용은 `GHSA-9rx3-8pwm-c228`에 해당합니다.
- **[security]** 숫자 바인드 변수 처리 보완
  - 잘못된 숫자 바인드 변수를 통한 SQL 주입 문제를 수정했습니다. 관련 내용은 `GHSA-xf67-9r78-xv82`에 해당합니다.
- **[breaking]** 빈 이름이 지정된 테이블 속성 거부
  - 빈 문자 집합, 정렬 규칙, 엔진 또는 파티션 테이블스페이스 이름이 거부됩니다. 대상 구문은 `CHARACTER SET`, `COLLATE`, `ENGINE`, `TABLESPACE`입니다.

## 영향 확인
- **[security]** MySQL 연결 문자 집합 제한
  - `--db-charset`를 설정하는 경우에 적용됩니다.
  - `--db-charset`와 MySQL 연결 문자 집합을 설정하는 다른 위치에서 `sjis`, `cp932`, `gb18030`, `gbk`, `big5`, `ucs2`, `utf16`, `utf16le`, `utf32`를 더 이상 사용할 수 없습니다. 관련 내용은 `GHSA-c28j-qmfx-4gxp`에 해당합니다.
- **[security]** `VExplain` 실행 권한 요구
  - `VExplain`을 사용하면서 `execute`를 설정하지 않은 경우에 적용됩니다.
  - 해당 모드에서는 `VExplain` 리소스에 새 `execute` 동작이 필요합니다. 관련 내용은 `GHSA-c2r8-grjp-w8c8`에 해당합니다.
- **[security]** `VStream` `LastPK` 처리 보완
  - `VStream`을 실행하는 경우에 적용됩니다.
  - `VStream`의 `LastPK` 값을 통한 SQL 주입 문제를 수정했습니다. 관련 내용은 `GHSA-73pp-99vw-h5g8`에 해당합니다.
- **[security]** `VStream` 필터 인자 처리 보완
  - `VStream`을 실행하는 경우에 적용됩니다.
  - `VStream` 필터의 `convert_tz()` 인자를 통한 SQL 주입 문제를 수정했습니다. 관련 내용은 `GHSA-92cc-q2h6-m2vr`에 해당합니다.
- **[security]** Online DDL 테이블 이름 처리 보완
  - `Online DDL`을 실행하는 경우에 적용됩니다.
  - Online DDL 문에서 테이블 이름을 통한 SQL 주입 문제를 수정했습니다. 관련 내용은 `GHSA-8w3p-4xg5-rm9w`에 해당합니다.
- **[security]** 쿼리 주석 호출자 ID 처리 보완
  - `--queryserver-config-annotate-queries`를 활성화하는 경우에 적용됩니다.
  - 쿼리 주석의 호출자 ID를 통한 SQL 주입 문제를 수정했습니다. 대상 설정은 `--queryserver-config-annotate-queries`이며, 관련 내용은 `GHSA-x56j-8c72-5xgg`에 해당합니다.
- **[security]** 후행 주석의 SQL 검사 우회 차단
  - `table ACL` 검사를 사용하는 경우에 적용됩니다.
  - 후행 주석에 숨겨져 파싱과 테이블 접근 제어 검사를 피하던 SQL 문제를 수정했습니다. 관련 내용은 `GHSA-pfg5-ppc7-ff45`에 해당합니다.
- **[security]** `VTAdmin` 상태 변경 API 요청 제한
  - `VTAdmin`을 실행하는 경우에 적용됩니다.
  - 클러스터 상태를 바꾸는 `VTAdmin` API 경로가 사이트 간 `GET` 요청을 허용하던 문제를 수정했습니다. 관련 내용은 `GHSA-3fr2-mqr5-r5x5`에 해당합니다.
- **[security]** `ReloadSchemaShard` RBAC 검사 보완
  - `VTAdmin`을 실행하는 경우에 적용됩니다.
  - `VTAdmin`의 `ReloadSchemaShard`가 RBAC를 검사하지 않던 문제를 수정했습니다. 관련 내용은 `GHSA-78h7-x6qm-xpr8`에 해당합니다.
- **[breaking]** 지원하지 않는 `sql_mode` 설정 거부
  - `sql_mode`를 설정하는 경우에 적용됩니다.
  - 지원하지 않는 모드를 설정하면, MySQL이 이미 같은 모드로 실행 중이고 `SET`이 값을 바꾸지 않더라도 거부됩니다.

## 그 밖에 기록된 변경
- 15 (value_changed 7, constraint_changed 4, default_changed 2, defect_corrected 2)

[분석 자세히 보기](https://ratatosk.io/ko/releases/vitess/v24.0.5)

[원본 릴리스 노트](https://github.com/vitessio/vitess/releases/tag/v24.0.5)