apisix 카탈로그 CVE 게이트 완전 해소 (차단 165건 → 0건)

etcd(bitnamilegacy 동결 미러) → etcd.enabled=false + 카탈로그 자체 etcd 차트를
externalEtcd 기본값으로 연결. adc·apisix-ingress-controller·apisix(paasup/apisix)
세 이미지는 SUSE BCI 자체 빌드로 교체 — 전부 벤더 등급만으로는 안 보이던
벤더 하향 등급 CVE(NVD 재평가 시 드러남)가 원인이었다.

- images/apisix-ingress-controller: 정적 링크 Go 모듈 취약 버전만 강제 업그레이드
- images/apisix: APISIX-Runtime(WASM·dubbo 등 커스텀 모듈 포함) 전체를 SUSE BCI
  위에서 소스로 재현, keycloak-authz 플러그인 오버레이
- images/adc: 업스트림 빌더 스테이지는 그대로 두고 distroless 최종 베이스만
  SUSE BCI+nodejs24 로 교체

scripts/build/patch-catalog-tag.py 의 TAG_BLOCK 이 점 구분 중첩 경로를 지원하도록
확장(apisix 서브차트 alias 때문에 필요).

세 이미지 모두 게이트 PASS(실효 CRITICAL/HIGH 0/0)와 배포 검증(테스트 클러스터)을
마쳤다.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

manifests/helm/apisix/2.16.0/CUSTOM-README.md

@@ -37,16 +37,26 @@ ingress-controller:
 
 두 값이 불일치하면 ingress-controller가 Admin API 인증에 실패해 라우트 등록이 되지 않는다.
 
-### 2. etcd StorageClass 확인
+### 2. externalEtcd 접속 정보 확인 (CVE 대응으로 기본값 변경됨)
+
+`etcd.enabled`는 **기본 `false`**다. 내장 etcd(bitnami 서브차트)가 쓰던
+`bitnamilegacy/etcd:latest`가 CVE 게이트 차단 65건(2026-08-11 실측)이었고,
+업스트림이 `latest` 태그만 제공해 태그 교체로 해소되지 않는 알려진 이슈다
+(bitnami/containers#83267). 기본값은 카탈로그의 하드닝된 별도
+`etcd`(`manifests/helm/etcd/1.1.12`) 차트를 가리킨다.
 
 ```yaml
-etcd:
-  persistence:
-    storageClass: longhorn   # 클러스터에 설치된 StorageClass로 변경
+externalEtcd:
+  host:
+    - http://etcd.etcd-system.svc.cluster.local:2379   # 릴리스명 etcd, 네임스페이스 etcd-system 기준
 ```
 
-클러스터에 `longhorn`이 없으면 PVC가 Pending 상태로 남아 배포가 중단된다.
-사용 가능한 StorageClass는 `kubectl get storageclass`로 확인한다.
+`manifests/helm/etcd/1.1.12`를 다른 릴리스명/네임스페이스로 배포했거나 TLS(`autoTls`)를
+켰다면 `host`/TLS 설정을 그에 맞게 바꾼다. 그 차트가 아직 없다면 먼저 배포한다
+(`manifests/helm/etcd/1.1.12/CUSTOM-README.md`).
+
+개발/테스트에서 내장 etcd가 필요하면 `etcd.enabled: true`로 되돌릴 수 있지만, 그러면
+`bitnamilegacy/etcd:latest`의 CVE 노출이 그대로 돌아온다는 점을 감수해야 한다.
 
 ### 3. ingress-controller 엔드포인트 및 publishService 확인
 
@@ -131,28 +141,29 @@ ingress:
 - APISIX Admin API를 외부에 노출할 경우에만 활성화한다
 - `host`를 실제 도메인으로 변경한다
 
-### etcd (내장 etcd)
+### etcd (내장 etcd, 기본 비활성)
 
 ```yaml
 etcd:
-  enabled: true          # 내장 etcd 사용 (개발/테스트용)
+  enabled: true          # 켜면 bitnamilegacy/etcd:latest 의 CVE 노출이 돌아온다
   replicaCount: 3        # 운영 환경 HA: 3개 권장
   persistence:
     enabled: true
     size: 8Gi
 ```
 
-> **운영 환경 주의**: 내장 etcd는 테스트 전용이다.
-> 운영에서는 `etcd.enabled: false`로 설정하고 외부 etcd를 `externalEtcd`로 연결한다.
+> **기본값이 `externalEtcd`로 바뀌었다(CVE 대응).** 내장 etcd는 개발/테스트에서
+> `etcd.enabled: true`로 켤 수 있지만, `bitnamilegacy/etcd:latest`는 상위 태그가 없어
+> CVE 게이트가 계속 차단한다.
 
-### externalEtcd (외부 etcd 연동)
+### externalEtcd (기본값 — 카탈로그의 하드닝된 etcd 차트 연동)
 
 ```yaml
 etcd:
   enabled: false
 externalEtcd:
   host:
-    - http://etcd-cluster.platform.svc.cluster.local:2379
+    - http://etcd.etcd-system.svc.cluster.local:2379   # manifests/helm/etcd/1.1.12 기본 배포 기준
   user: ""
   password: ""
 ```
@@ -192,8 +203,11 @@ helm template apisix apisix/apisix \
 
 ### etcd 데이터 마이그레이션
 
-- etcd 내장 차트를 사용 중이라면 버전 업그레이드 전 etcd 스냅샷을 반드시 백업한다
-- `etcd.image.tag`가 `latest`로 고정되어 있으므로 버전 고정이 필요하면 `externalEtcd`로 전환한다
+- 기본값은 `externalEtcd`(카탈로그 `etcd` 차트)라 이 차트 자체의 업그레이드는 etcd 데이터에
+  영향을 주지 않는다
+- `etcd.enabled: true`로 내장 etcd를 쓰는 중이라면 버전 업그레이드 전 스냅샷을 반드시
+  백업한다 — `etcd.image.tag`가 `latest` 고정이라(bitnami/containers#83267) 버전 고정이
+  필요하면 `externalEtcd`로 전환한다
 
 ### Breaking Change 체크 키
 

manifests/helm/apisix/2.16.0/custom-values.yaml

@@ -1,10 +1,17 @@
-# 차트 2.16.0 의 appVersion 은 3.17.0 이다. keycloak-authz 커스텀 플러그인을 포함한
-# paasup 자체 빌드 이미지도 같은 base 로 재빌드해 태그를 함께 올린다.
-# (dataup experiment/apisix/apisix-plugin 에서 apache/apisix:3.17.0-debian 기반으로 빌드)
-# 차트 업그레이드 시 이 태그도 새 appVersion 에 맞춰 갱신할 것.
+# 차트 2.16.0 의 appVersion 은 3.17.0 이다.
+#
+# 기존엔 dataup experiment/apisix/apisix-plugin 레포에서 apache/apisix:3.17.0-debian
+# 기반으로 keycloak-authz 커스텀 플러그인만 얹어 빌드했다. 이 베이스(Debian) 자체가
+# CVE 게이트 차단 26건(2026-08-11 실측) — 이미 최신 apache/apisix 태그라 태그 교체로도
+# 안 없어지는 Debian 베이스 OS 패키지 CVE라, images/apisix 자체 빌드(SUSE BCI 위에
+# APISIX-Runtime 전체를 소스에서 재현 + keycloak-authz 오버레이)로 교체했다.
+# 게이트 PASS(실효 CRITICAL/HIGH 0/0, 2026-08-12 실측). 근거: images/apisix/README.md.
+#
+# 차트 업그레이드 시 이 태그도 새 appVersion 에 맞춰 images/apisix 를 다시 빌드해 갱신할 것 —
+# dataup 레포 쪽은 더 이상 이 카탈로그가 참조하지 않는다(그 레포 자체는 그대로 둠).
 image:
   repository: paasup/apisix
-  tag: "3.17.0-keycloak-authz"
+  tag: "3.17.0-security-hardened-20260811"
   pullPolicy: IfNotPresent
   
 replicaCount: 1
@@ -154,26 +161,49 @@ service:
     tcp: []
     udp: []
 
-# 내장 etcd는 개발/테스트 전용. 운영에서는 externalEtcd를 사용한다.
+# 내장 etcd(bitnami 서브차트)는 기본 비활성. bitnamilegacy/etcd:latest 가 CVE 게이트를
+# 차단(실효 CRITICAL/HIGH 65건, 2026-08-11 실측)하는데 업스트림이 latest 태그만 제공해
+# 태그 교체로 해소가 안 된다(bitnami/containers#83267). 카탈로그의 하드닝된 별도 etcd
+# 차트(manifests/helm/etcd/1.1.12)를 externalEtcd 로 쓴다 — 개발/테스트에서 내장 etcd가
+# 필요하면 enabled: true 로 되돌리되 그 CVE 노출은 그대로 남는다.
 etcd:
-  enabled: true
-  replicaCount: 1                # 단일 노드 클러스터 — 운영 HA는 3 권장
-  persistence:
-    enabled: true
-    storageClass: longhorn
-    size: 4Gi
+  enabled: false
 
-# 외부 etcd 사용 시 etcd.enabled=false로 설정하고 아래 값을 채운다.
-# externalEtcd:
-#   host:
-#     - http://etcd-cluster.platform.svc.cluster.local:2379
-#   user: ""
-#   password: ""
+# 기본 배포 대상: manifests/helm/etcd/1.1.12 를 릴리스명 "etcd", 네임스페이스
+# "etcd-system" 으로 배포했을 때의 서비스(포트 2379, 평문). 다른 네임스페이스/릴리스명으로
+# 배포했거나 dip-values.yaml 로 TLS(autoTls)를 켰다면 host/tls 설정을 맞게 바꾼다.
+externalEtcd:
+  host:
+    - http://etcd.etcd-system.svc.cluster.local:2379
+  user: ""
+  password: ""
 
 ingress-controller:
   enabled: true
   ingressClass: apisix           # Kong의 'kong' class와 분리
 
+  # apisix-ingress-controller 서브차트 기본값(2.1.0, apache/apisix-ingress-controller)이
+  # 이미 최신 태그인데도 CVE 게이트 차단 25건(정적 링크된 Go 모듈 21건 — 태그 교체로도
+  # 해소 안 됨) — images/apisix-ingress-controller 자체 빌드(취약 모듈만 강제 업그레이드)
+  # 로 교체해 게이트 PASS(실효 CRITICAL/HIGH 0건, 2026-08-11 실측). 근거: images/
+  # apisix-ingress-controller/README.md.
+  #
+  # adc 사이드카 — 0.27.1 → 0.29.0 태그 교체는 유효한 부분 조치였지만 완전 해소는
+  # 아니었다(2026-08-12 게이트 재검증에서 정정 — 벤더 등급만 보면 0/0 이지만
+  # max(벤더,NVD) 로는 glibc regex/collating 스택오버플로 4건이 실효 CRITICAL/HIGH 로
+  # 차단. Debian 이 "affected, 수정 없음"으로 영구 고정해둔 벤더 하향 등급 사례 —
+  # cnpg-postgresql 때와 같은 패턴). images/adc 자체 빌드(distroless 대신 SUSE BCI +
+  # nodejs24, 빌더 스테이지는 업스트림 그대로)로 교체해 게이트 PASS(실효 CRITICAL/HIGH
+  # 0/0, 2026-08-12 실측). 근거: images/adc/README.md.
+  deployment:
+    image:
+      repository: paasup/apisix-ingress-controller
+      tag: "2.1.0-security-hardened-20260811"
+    adcContainer:
+      image:
+        repository: paasup/adc
+        tag: "0.29.0-security-hardened-20260812"
+
   gatewayProxy:
     createDefault: true          # 기본값: false — v2.0.1+에서 미설정 시 라우트 등록 안 됨
     publishService: apisix/apisix-gateway   # Ingress STATUS에 External IP 반영