Cilium
v1.20.4Networking & Messaging2026年10月23日
セキュリティ対応を中心としたメンテナンスリリースです。オペレーター向けに広範な互換性を壊す変更はありません。
要対応 (2)
security
Goと依存関係のセキュリティ更新CVE-2026-111943への対応として、
Goを1.へ更新し、侵害されたeMudhra中間CA証明書を信頼しないようにしました。依存関係もすべて最新のパッチ版へ更新しています。26. 10 security未使用の
pebbleバイナリを削除ciliumイメージから未使用のpebbleバイナリを削除し、Go標準ライブラリの脆弱性検出結果を解消しました。
その他の記録済み変更 12 件すべてfixes 10 · constraints 2
fixes (10)
- fix outer ICMP checksum for ICMP/SCTP NAT error packets
- CiliumEnvoyConfig now only redirects Services in its own namespace, as documented; service references in CiliumClusterwideEnvoyConfig without a namespace default to "default" again.
- Fix NAT46x64 gateway prefix conversion panic
- Fix an issue where terminating backends were evicted from BPF maps when trafficDistribution was enabled.
- Fix invalid L4 checksum on IPv6 ClusterIP reverse NAT for CHECKSUM_PARTIAL packets on kernels < 6.12
- Fix regression in Cilium 1.20.3 where the Gateway API implementation would incorrectly handle BackendTLSPolicy configurations, leading to high Cilium CPU usage and inability to forward traffic.
- Fixes an issue in LBIPAM where on service upsert, if IP allocations are not changed the sharing index is not updated.
- in IPAM ENI and Azure modes the operator now treats nodes as running in multi-pool mode from the very first event.
- Reduce transient DNS SERVFAIL/REFUSED for pods that query immediately at startup by pushing/applying Standalone DNS Proxy policy snapshots more frequently
- Fix Envoy xDS listener handling across restoration, address changes, and rejected updates
constraints (2)
- support RRSA (RAM Roles for Service Accounts) credentials in the IPAM allocator
- Allow wildcard CIDR selectors to match nodes when --policy-cidr-match-mode=nodes is configured
Ciliumをスタックに追加
対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチも、その一例です。