apisix 카탈로그 CVE 게이트 완전 해소 (차단 165건 → 0건)

etcd(bitnamilegacy 동결 미러) → etcd.enabled=false + 카탈로그 자체 etcd 차트를
externalEtcd 기본값으로 연결. adc·apisix-ingress-controller·apisix(paasup/apisix)
세 이미지는 SUSE BCI 자체 빌드로 교체 — 전부 벤더 등급만으로는 안 보이던
벤더 하향 등급 CVE(NVD 재평가 시 드러남)가 원인이었다.

- images/apisix-ingress-controller: 정적 링크 Go 모듈 취약 버전만 강제 업그레이드
- images/apisix: APISIX-Runtime(WASM·dubbo 등 커스텀 모듈 포함) 전체를 SUSE BCI
  위에서 소스로 재현, keycloak-authz 플러그인 오버레이
- images/adc: 업스트림 빌더 스테이지는 그대로 두고 distroless 최종 베이스만
  SUSE BCI+nodejs24 로 교체

scripts/build/patch-catalog-tag.py 의 TAG_BLOCK 이 점 구분 중첩 경로를 지원하도록
확장(apisix 서브차트 alias 때문에 필요).

세 이미지 모두 게이트 PASS(실효 CRITICAL/HIGH 0/0)와 배포 검증(테스트 클러스터)을
마쳤다.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

manifests/helm/apisix/2.16.0/custom-values.yaml

@@ -1,10 +1,17 @@
-# 차트 2.16.0 의 appVersion 은 3.17.0 이다. keycloak-authz 커스텀 플러그인을 포함한
-# paasup 자체 빌드 이미지도 같은 base 로 재빌드해 태그를 함께 올린다.
-# (dataup experiment/apisix/apisix-plugin 에서 apache/apisix:3.17.0-debian 기반으로 빌드)
-# 차트 업그레이드 시 이 태그도 새 appVersion 에 맞춰 갱신할 것.
+# 차트 2.16.0 의 appVersion 은 3.17.0 이다.
+#
+# 기존엔 dataup experiment/apisix/apisix-plugin 레포에서 apache/apisix:3.17.0-debian
+# 기반으로 keycloak-authz 커스텀 플러그인만 얹어 빌드했다. 이 베이스(Debian) 자체가
+# CVE 게이트 차단 26건(2026-08-11 실측) — 이미 최신 apache/apisix 태그라 태그 교체로도
+# 안 없어지는 Debian 베이스 OS 패키지 CVE라, images/apisix 자체 빌드(SUSE BCI 위에
+# APISIX-Runtime 전체를 소스에서 재현 + keycloak-authz 오버레이)로 교체했다.
+# 게이트 PASS(실효 CRITICAL/HIGH 0/0, 2026-08-12 실측). 근거: images/apisix/README.md.
+#
+# 차트 업그레이드 시 이 태그도 새 appVersion 에 맞춰 images/apisix 를 다시 빌드해 갱신할 것 —
+# dataup 레포 쪽은 더 이상 이 카탈로그가 참조하지 않는다(그 레포 자체는 그대로 둠).
 image:
   repository: paasup/apisix
-  tag: "3.17.0-keycloak-authz"
+  tag: "3.17.0-security-hardened-20260811"
   pullPolicy: IfNotPresent
   
 replicaCount: 1
@@ -154,26 +161,49 @@ service:
     tcp: []
     udp: []
 
-# 내장 etcd는 개발/테스트 전용. 운영에서는 externalEtcd를 사용한다.
+# 내장 etcd(bitnami 서브차트)는 기본 비활성. bitnamilegacy/etcd:latest 가 CVE 게이트를
+# 차단(실효 CRITICAL/HIGH 65건, 2026-08-11 실측)하는데 업스트림이 latest 태그만 제공해
+# 태그 교체로 해소가 안 된다(bitnami/containers#83267). 카탈로그의 하드닝된 별도 etcd
+# 차트(manifests/helm/etcd/1.1.12)를 externalEtcd 로 쓴다 — 개발/테스트에서 내장 etcd가
+# 필요하면 enabled: true 로 되돌리되 그 CVE 노출은 그대로 남는다.
 etcd:
-  enabled: true
-  replicaCount: 1                # 단일 노드 클러스터 — 운영 HA는 3 권장
-  persistence:
-    enabled: true
-    storageClass: longhorn
-    size: 4Gi
+  enabled: false
 
-# 외부 etcd 사용 시 etcd.enabled=false로 설정하고 아래 값을 채운다.
-# externalEtcd:
-#   host:
-#     - http://etcd-cluster.platform.svc.cluster.local:2379
-#   user: ""
-#   password: ""
+# 기본 배포 대상: manifests/helm/etcd/1.1.12 를 릴리스명 "etcd", 네임스페이스
+# "etcd-system" 으로 배포했을 때의 서비스(포트 2379, 평문). 다른 네임스페이스/릴리스명으로
+# 배포했거나 dip-values.yaml 로 TLS(autoTls)를 켰다면 host/tls 설정을 맞게 바꾼다.
+externalEtcd:
+  host:
+    - http://etcd.etcd-system.svc.cluster.local:2379
+  user: ""
+  password: ""
 
 ingress-controller:
   enabled: true
   ingressClass: apisix           # Kong의 'kong' class와 분리
 
+  # apisix-ingress-controller 서브차트 기본값(2.1.0, apache/apisix-ingress-controller)이
+  # 이미 최신 태그인데도 CVE 게이트 차단 25건(정적 링크된 Go 모듈 21건 — 태그 교체로도
+  # 해소 안 됨) — images/apisix-ingress-controller 자체 빌드(취약 모듈만 강제 업그레이드)
+  # 로 교체해 게이트 PASS(실효 CRITICAL/HIGH 0건, 2026-08-11 실측). 근거: images/
+  # apisix-ingress-controller/README.md.
+  #
+  # adc 사이드카 — 0.27.1 → 0.29.0 태그 교체는 유효한 부분 조치였지만 완전 해소는
+  # 아니었다(2026-08-12 게이트 재검증에서 정정 — 벤더 등급만 보면 0/0 이지만
+  # max(벤더,NVD) 로는 glibc regex/collating 스택오버플로 4건이 실효 CRITICAL/HIGH 로
+  # 차단. Debian 이 "affected, 수정 없음"으로 영구 고정해둔 벤더 하향 등급 사례 —
+  # cnpg-postgresql 때와 같은 패턴). images/adc 자체 빌드(distroless 대신 SUSE BCI +
+  # nodejs24, 빌더 스테이지는 업스트림 그대로)로 교체해 게이트 PASS(실효 CRITICAL/HIGH
+  # 0/0, 2026-08-12 실측). 근거: images/adc/README.md.
+  deployment:
+    image:
+      repository: paasup/apisix-ingress-controller
+      tag: "2.1.0-security-hardened-20260811"
+    adcContainer:
+      image:
+        repository: paasup/adc
+        tag: "0.29.0-security-hardened-20260812"
+
   gatewayProxy:
     createDefault: true          # 기본값: false — v2.0.1+에서 미설정 시 라우트 등록 안 됨
     publishService: apisix/apisix-gateway   # Ingress STATUS에 External IP 반영