Релизы

v1.19.10

Ключевые изменения

• Репликация: усилена аутентификация secondary-кластеров
• Raft: миграция autopilot при обновлении больше не включается заново конфигурацией autopilot без disable_upgrade_migration
• Обновлены базовые образы до v4.0.0

Исправления

• Репликация: подключение secondary-кластера принимается только с сертификатом, выпущенным для него; отозванный сертификат или сертификат другого secondary-кластера отклоняется
• Репликация: secondary-кластер принимается, только пока он существует, а его gRPC-идентичность привязана к его соединению
• Репликация: при отзыве secondary-кластера удаляются все его токены, и они больше не проходят аутентификацию
• Репликация: исправлена паника при отзыве secondary-кластера без соединения
• Raft: значение по умолчанию disable_upgrade_migration=true сохраняется, если в сохранённой конфигурации autopilot оно не задано; раньше миграция при обновлении включалась заново и могла нарушить кворум при rolling update StatefulSet

Обновления безопасности

• CVE-2026-78669
• CVE-2026-78663
• CVE-2026-97032
• CVE-2026-78659
• CVE-2026-78660

v1.19.9

Ключевые изменения

• Исправлено: сборка бинарного файла hsm, совместимого с Astra SE 1.7
• stronghold-automatic: отключена миграция autopilot при обновлении, исправлены приведения типов без проверки
• Auto-unseal: пропуск автоматической инициализации на уже инициализированных узлах, миграция при обновлении по умолчанию отключена
• Обновления безопасности

Обновления безопасности

• CVE-2026-89322: запрещающие правила ACL можно было обойти, изменив регистр пути или добавив пробелы, а denied_parameters — неканоническим именем политики
• CVE-2026-105816: записи каталога плагинов, восстановленные из снапшота или записанные через sys/raw, могли запускать бинарный файл вне plugin_directory
• CVE-2026-105818: каталог ACME PKI по умолчанию (sign-verbatim) выпускал сертификаты с URI, email и Other SAN, не проверенными ACME; такие CSR теперь отклоняются, прежнее поведение доступно как sign-verbatim-unsafe

v1.19.8

Ключевые изменения

• Межкластерная репликация

v1.19.7

Ключевые изменения

• Поддержка лицензирования
• Механизм репликации Enterprise
• Managed keys: исправления для PKCS#11 HSM, генерация ключей ГОСТ/Кузнечик, Yandex Cloud KMS
• Исправлена изоляция пространств имён для lease и токенов
• Обновления безопасности
• Важно: если ранее вы подключали другой кластер в режиме performance replication на версии v1.19+, потребуется переподключение performance-нод

Новый функционал

• Лицензирование, настройка лицензии в Helm-чарте
• Отображение имени клиента и бессрочного срока действия на странице лицензии в UI
• Повышение и понижение голосующих узлов Raft (promote/demote)
• Возможность сброса индекса репликации, дерева Меркла и WAL
• CryptoPro seal: поддержка дополнения энтропии (GetRandom)

Улучшения

• Перешифрование устаревшего формата PKCS#11 seal
• System view для KV-репликации
• Проверки health и readiness учитывают лидера при выкатке
• Валидация Ingress в Helm-чарте
• Обновлена Helm-библиотека
• Automatic теперь обрабатывает SIGTERM
• STRONGHOLD_CA заменена на общую VAULT_CACERT
• Безопасная очистка отключенной функции Auto-Join
• Обработка истечения срока пароля userpass в форме входа UI
• Удалён устаревший fallback для Vault 1.11
• Новые логотипы и обновлённые переводы UI

Исправления

• Запрещены просмотр и отзыв lease и токенов из других пространств имён
• Исправлен перезапуск census на запечатанных и standby-узлах
• Исправлено transit-шифрование через PKCS#11 и RSA-PSS
• Исправлено удаление пространств имён в UI
• Исправлены имя MFA-метода и удаление MFA-метода
• Исправлена валидация настроек QR-кода TOTP
• Исправлены паники в политиках паролей с пустым набором символов и в операциях с lease при нестроковых lease_id/token
• Исправлены ошибки KV v2, настройки монтирования, response wrapping и конфигурации ротации
• Исправлены утечки горутин и взаимоблокировки

Обновления безопасности

• CVE-2024-2048
• CVE-2024-2660
• CVE-2025-6037
• CVE-2026-53493
• Обновлены зависимости (containerd, go-git, grpc, golang.org/x/net, OpenTelemetry)

v1.19.6

Ключевые изменения

• Добавлена возможность указания срока действия паролей в userpass
• Обновления безопасности

Новый функционал

• Добавлена возможность указания срока действия паролей в userpass
• Самостоятельная смена пароля в userpass

Улучшения

• Репликация скрыта в UI и API, если она отключена
• Helm-чарт - репликация по умолчанию отключена для EE

Обновления безопасности

• CVE-2026-81870

v1.19.5

Ключевые изменения

• Плагин аутентификации Kerberos
• В PKI добавлена поддержка KRB5 и IA5 SAN
• Поддержка MFA для OIDC, SAML и WebAuthn в веб-интерфейсе
• Автоснапшоты вынесены в отдельный enterprise-модуль управления снапшотами
• Обновления безопасности

Новый функционал

• Плагин аутентификации Kerberos
• В PKI добавлена поддержка KRB5 и IA5 SAN
• В веб-интерфейсе разрешено использование MFA для OIDC, SAML, WebAuthn

Улучшения

• Автоснапшоты вынесены в отдельный enterprise-модуль - планирование Raft-автоснапшотов, хранение, retention, загрузка в S3 и метрики перенесены в EE-only пакет; добавлены повторные попытки, настройка воркеров загрузки, миграция статусов и расширено тестовое покрытие
• Исправлено завершение работы метрик снапшотов, обновлён дашборд, добавлены алерты
• Оптимизировано потребление памяти метриками
• Добавлены генератор SBOM и инструмент его обновления
• Обновлён helm-чарт до v0.1.1
• Обновлены trdl и плагин trdl
• При операциях записи kv-repl вместо internal server error теперь возвращается логический ответ
• Исправлено описание API для методов MFA
• Удалены неиспользуемые поля API managed keys
• Удалены неиспользуемые поля конфигурации multifactor
• Обеспечено соответствие требованиям DMT

Исправления

• Исправлена проблема производительности в LogShipper findSendElement
• Исправлен deadlock в exportSnapshotAutoMetrics
• Исправлена репликация для нетранзакционных backend’ов
• Исправлена сборка мусора WAL (walgc)

Обновления безопасности

• CVE-2026-81870
• CVE-2026-84445
• CVE-2026-53495
• CVE-2026-56855
• CVE-2026-84304
• CVE-2026-5807
• CVE-2026-56854
• CVE-2025-12044
• CVE-2025-6000
• CVE-2026-5051
• CVE-2025-6013
• CVE-2025-6203
• CVE-2026-4525
• CVE-2026-12624
• CVE-2026-5052
• CVE-2026-3605

v1.19.4

Ключевые изменения

• Подключение Multifactor через UI и API

Улучшения

• Добавлены gitops и trdl плагины в UI

Исправления

• Восстановлены сигнатуры protobuf для MFA

Обновления безопасности

• Обновлены базовые образы до v2.1.4

v1.19.3

Ключевые изменения

• CVE-2026-17106

v1.19.2

Ключевые изменения

• Уменьшен размер приложения за счет удаления неиспользуемых библиотек cloud KMS
• Добавлены валидации для конфигурации модуля
• Минимальная версия Deckhouse увеличена до 1.76
• Отключена поддержка auto_join для AWS, GCP, Azure и других облачных провайдеров
• Код PKCS#11 и Yandex KMS вынесен в enterprise wrapper
• Добавлена поддержка генерации ключей для PKCS#11
• Отключена выгрузка service-worker-registration, неподдерживаемая в новых версиях браузеров
• При неверных параметрах запроса к managed keys возвращается код 400 вместо 500

Улучшения

• Обновлены базовые образы до v2.1.2
• Добавлены bootstrap-функции для d8-cli
• Обновлена OpenAPI-спецификация, улучшающая UX для сгенерированного UI
• Добавлены иконки для плагинов webauthn, trdl и gitops

Обновления безопасности

• Устранено CVE-2026-56864, обновлен golang.org/x/mod до v0.40.0

v1.19.1

Ключевые изменения

• Добавлена карточка статуса репликации на secondary
• Поддержка хранилища Vault EE с WAL
• Обновлён trdl

Улучшения

• Тесты переведены с docker/docker на moby/moby
• Тест PKI DNS переведён на новый Docker API
• Обновлены базовые образы до v1.3.26

Исправления

• Идентификатор secondary-кластера теперь должен быть уникальным
• Конфигурация autosnapshot больше не реплицируется в performance-кластер

Обновления безопасности

• CVE-2026-71556, CVE-2026-71557

v1.19.0

Ключевые изменения

• Поддержка межкластерной репликации
• Встроенный gitops-плагин для Enterprise Edition
• Встроенный trdl-плагин для Enterprise Edition
• CLI-команды bootstrap
• VEX attestation для Kubernetes-образов
• Поддержка Kubernetes Gateway API

v1.18.6

Ключевые изменения

• В PKI добавлена возможность задавать формат ключей ГОСТ как PKCS8.
• В Transit добавлены экспорт и импорт ключей ГОСТ, а также тесты с OpenSSL.

Улучшения

• Добавлен генератор .helmignore.
• certutil разделён с помощью тега сборки GOST.

Исправления

• Возвращена встроенная реализация ГОСТ.

Обновления безопасности

• Добавлена конфигурация VEX.

v1.18.5

Ключевые изменения

• GHSA-hrxh-6v49-42gf

Обновления безопасности

• GHSA-hrxh-6v49-42gf

v1.18.4

Ключевые изменения

• Обновления безопасности

Обновления безопасности

• CVE-2026-46600, CVE-2026-56852
• Владелец binary изменён на root

Зависимости

• Yarn обновлён с 3.5.0 до 4.17.0

v1.18.3

Ключевые изменения

• Admin namespace
• Stronghold CE может работать с Enterprise storage (в том числе без namespaces)
• Регистрация WebAuthn passkeys: авторегистрация отключена по умолчанию, для регистрации используются коды
• Обновления безопасности: исправления CVE и tls_13_cipher_policy для выбора GOST или AES

Новый функционал

• Добавлен admin namespace
• Добавлена возможность запуска Stronghold CE с Enterprise storage (в том числе без namespaces)
• API возвращает namespaces, к которым есть доступ у переданного токена
• Добавлены registration code и registration URL для новых WebAuthn passkeys; авторегистрация отключена по умолчанию
• UI — смена пароля для userpass backend
• UI — настройка user lockout для ldap, userpass, approle
• Добавлена настройка tls_13_cipher_policy для предпочтения алгоритмов шифрования GOST или AES

Улучшения

• Добавлена поддержка ingress pods, запущенных в host network
• Отключено rate limiting client-go (DefaultQPS) для Kubernetes secrets engine
• Улучшено оборачивание ошибок репликации KV
• Изменена реализация политики паролей по умолчанию для userpass auth
• Соответствие требованиям DMT
• Добавлен генератор changelog

Исправления

• Исправлено сообщение в логе при raft restore (NaN% to restore)
• Исправлено развёртывание dexclient
• Исправлена ошибка, из‑за которой указанные MFA rules не добавлялись при создании MFA

Обновления безопасности

• CVE-2026-2303, CVE-2026-44973, CVE-2026-44740, CVE-2026-45571, CVE-2026-41579

Документация

• Добавлена подсистема модулей
• Обновлены ссылки в документации

Зависимости

• Базовые образы обновлены до v1.3.4
• webauthn обновлён до v0.2.1

v1.18.2

• Базовые образы обновлены до v1.0.43.
• В веб-интерфейсе исправлена обработка пустого списка политик паролей.
• В веб-интерфейсе добавлены новое боковое меню и меню пользователя.
• Отключена буферизация данных в ingress.
• Изменён уровень логирования unsealer.
• Логика репликации KV перенесена из core в kv-plugin.
• Добавлена поддержка миграции хранилища для HA-установок.
• Добавлена поддержка настройки nodeSelector.
• Добавлена поддержка настройки storageClass.
• Оптимизирован readiness probe.
• Исправлена ошибка approle при несовпадении IP-адреса и CIDR — больше не возвращается nil.
• Разрешены заголовки X-Forwarded-For от Ingress с mTLS client auth.
• Добавлена проверка на nil в helper/pgpkeys/flag.go.
• Исправлено потенциальное разыменование null в auth.go (DEREF_AFTER_NULL.EX).

v1.18.1

• В веб-интерфейсе переработана навигация в боковом меню.
• В веб-интерфейсе исправлено сохранение формы политики паролей.
• В веб-интерфейсе отображение страниц системного журнала и журнала аудита теперь зависит от прав токена.
• В веб-интерфейсе исправлена ошибка assert на sys/monitor.
• В веб-интерфейсе пустые разделы бокового меню скрываются в зависимости от прав доступа.
• В API и веб-интерфейсе CE скрыты возможности редакции EE.
• Меню Autosnapshots скрывается при недостаточных правах доступа.
• В веб-интерфейсе добавлен просмотр системного журнала.
• Добавлен API-путь sys/audit-monitor.
• При остановке core выполняется flush audit monitor.
• При остановке core завершается сессия monitor.
• Базовые образы обновлены до v1.0.17, go1.25.10.
• В переменную окружения NO_PROXY добавлены дополнительные внутрикластерные сервисы.
• CA для репликации KV теперь хранится в формате PEM.
• Для репликации KV используется системное хранилище CA, если задан VAULT_CACERT.
• Улучшен fuzzing. Исправлены коды ответов API при некорректных пользовательских данных.
• Обеспечено соответствие требованиям DMT.
• Добавлен метод remapper для d8 cli.
• CI - добавлен SKIP_SETCAP для Docker-тестов.
• CI - добавлен Makefile для dev-запусков и статических сборок.
• Изменены требования модуля - требуется Deckhouse >= 1.72.
• CVE-2026-25645, CVE-2025-66418, CVE-2025-66471, CVE-2026-21441, CVE-2026-34986, CVE-2026-39883, CVE-2026-32952, CVE-2026-41506, CVE-2026-41889

v1.18.0

• Управляемые ключи (Managed Keys) для работы с ключевым материалом во внешних доверенных системах без хранения приватных ключей внутри Stronghold. Поддерживаются механизмы секретов Transit, PKI и SSH.
• Поддержка управляемых ключей в Yandex KMS и PKCS#11.
• Аутентифициация пользователей через внешний SAML 2.0 Identity Provider по профилю Web SSO.
• В веб-интерфейсе появилось управление параметрами репликации KV-mount.
• В PKI появилась поддержка одноэлементных RDN в составе distinguished name для совместимости с OpenSSL / Microsoft CA.
• Для аудит-устройств появились механизмы фильтрации записей и исключения отдельных полей.
• Добавлена проверка снапшотов через команду stronghold operator raft snapshot inspect.
• Добавлена возможность управлять параметром max_ttl для ACME сертификатов.
• Улучшена совместимость с Auto-Snapshots Vault Enterprise - при миграции с Vault Enterprise кофигурация снапшотов сохраняется.
• CVE GHSA-jqcq-xjh3-6g23, CVE-2026-33186, CVE-2026-33487, CVE-2025-15558

v1.17.0

• Добавлена поддержка WebAuthn - безпарольная аутентификация (FIDO2/Passkeys).
• Поддержка внешних плагинов Stronghold в исполнении DKP.
• Добавлены функции блокировки пространств имен (namespace lock) и интерфейс для управления ими.
• В веб-интерфейсе появилась поддержка LDAP secrets engine.
• Добавлена поддержка Yandex KMS в качестве seal-backend-а.
• Расширены сценарии работы Agent.
• Добавлена поддержка raft-узлов в режиме non-voter.
• Доработаны сценарии развертывания на arbiter node group и параметры тестовых кластеров.

v1.16.0

• Добавлена поддержка пространств имен (Namespaces).
• Реализована многофакторная аутентификация (MFA) с поддержкой TOTP и Multifactor.
• Появилась редакция Deckhouse Stronghold CE (Community Edition), доступная для бесплатной установки.
• В веб-интерфейсе стало доступно управление OIDC-ролями, AppRole и политиками паролей.
• Добавлены метрики репликации.
• Добавлен SealWrap - механизм дополнительного шифрования наиболее чувствительных внутренних данных поверх стандартного криптографического барьера Stronghold.
• Добавлен CryptoPro seal wrapper для сценариев с использованием российской криптографии.
• Веб-интерфейс получил более полную русскую локализацию и темную тему.
• Добавлена поддержка ClickHouse и веб-интерфейс для работы с ним.
• Добавлена поддержка TLS 1.3 с ГОСТ-шифрованием Магма и Кузнечик.
• Добавлена поддержка сертификатов ГОСТ 34.10-2012 X.509.

v1.15.0

• Появилось резервное копирование Raft snapshots по расписанию с сохранением в S3 или файловую систему и управлением через API.
• Расширены возможности KV-репликации.
• Улучшен веб-интерфейс.
• Добавлено автоматическое распечатывание через HSM/PKCS#11, включая поддержку Рутокен ЭЦП 3.0.

v1.1.0

• Автоматическое распечатывание с хранением ключей в памяти нод Stronghold
• Интерфейс на русском языке
• Включен в реестр Российского ПО, Запись в реестре №22339 от 24.04.2024
• Добавлена интеграция с платформенным модулем доставки секретов secrets-store-integration

v1.0.0

• Развертывание в качестве модуля DKP
• Интеграция с платформенной DEX аутентификацией