RATATOSKRATATOSK
ログイン

Emissary-Ingress

v4.2.0Networking & Messaging
2026年11月10日

ACTION 2CHECK 8OTHER 13

セキュリティと正確性に関わる変更を含むリリースです。内部APIの分離強化やEnvoyの既定値変更に加え、通信経路が変わる場合や、これまで受け入れられていた設定がエラーになる場合があります。

要対応 (2)

  • security侵害されたeMudhra中間CAの信頼削除

    イメージのCAバンドルは、侵害されたeMudhra中間CAを信頼しなくなります。

  • securitydiagd内部APIの管理ポートからの切り離し

    diagd の内部APIは管理ポート8877から到達できなくなります。対象には、Emissaryへ新しい設定スナップショットを渡す POST /_internal/v0/watt が含まれます。

影響確認 (8)

  • securityMappingの正規表現照合モード変更

    prefix_regex、regex_headers、または regex_rewrite を設定している場合に適用されます。

    Mapping の正規表現は、UTF-8ではなくLatin-1モードで照合されます。対象には prefix_regex、regex_headers、regex_rewrite などが含まれ、CVE-2026-73552 に対応しています。

  • securitydiagdバインド用環境変数の削除

    AMBASSADOR_DIAGD_BIND_PORT または AMBASSADOR_DIAGD_BIND_ADDREASS を設定している場合に適用されます。

    AMBASSADOR_DIAGD_BIND_PORT と AMBASSADOR_DIAGD_BIND_ADDREASS の環境変数は削除され、設定項目として機能しなくなります。

  • security未サニタイズのスナップショットサーバー削除

    kubectl port-forward を使ってスナップショットサーバーに接続している場合に適用されます。

    localhost:9696 で待ち受けていたスナップショットサーバーが削除されます。このサーバーはシークレットを含む未サニタイズのスナップショットを提供し、kubectl port-forward で到達できました。

  • breakingEnvoyのワーカースレッド数の既定値変更

    ENVOY_CONCURRENCY を設定していない場合に適用されます。

    ENVOY_CONCURRENCY を設定していない場合、Envoyのワーカースレッド数はノードのCPU数ではなく、コンテナのcgroup CPU制限に合わせて決まります。

  • breaking既定のTLS ECDH曲線への X25519MLKEM768 追加

    ecdh_curves を設定していない場合に適用されます。

    ecdh_curves を設定していない Host と TLSContext では、既定のTLS ECDH曲線に X25519MLKEM768 が加わります。

  • breakingerror_response_overrides の無効化

    error_response_overrides を設定している場合に適用されます。

    Ambassador Labsの error_response_overrides 機構は完全に無効化されました。使用しようとするとエラーが通知されます。

  • breaking指定されたdatacenterに基づく検索

    datacenter を設定している場合に適用されます。

    検索は指定された datacenter を照会するようになりました。誤った datacenter がたまたま機能していた場合、その名前解決は停止します。

  • breaking同一targetPortでの異なるhostPortの拒否

    hostPort と targetPort を設定している場合に適用されます。

    同じ targetPort に対して異なる hostPort を指定する設定は拒否されます。

その他の記録済み変更 13 件すべてfixes 6 · value changes 4 · additions 2 · constraints 1

fixes (6)

  • Weighted TCPMappings now divide traffic in the ratio they are configured with.
  • apiext now eagerly generates its webhook server certificate for its well-known Service hostname as part of its readiness check
  • Two ConsulResolvers in different datacenters that watch services with the same name no longer overwrite each other's endpoints.
  • The Helm chart no longer declares the same containerPort twice when several service.ports share a targetPort
  • Two Mappings for the same service, one using the default Kubernetes service resolver and one using an endpoint resolver, no longer share one Envoy cluster.
  • An add_request_headers or add_response_headers entry written as an object with no value (for example cache-control: {append: true}) no longer crashes Emissary.

value changes (4)

  • Update: Upgrade from Envoy 1.37.2 to Envoy 1.40.2
  • The x-envoy-upstream-stream-duration-ms request header is now stripped from external requests
  • Emissary is now built with Go 1.27.3 and the Kubernetes 1.37 client libraries, and its other Go and Python dependencies are updated to their current releases.
  • diagd now posts Ingress and other resource status updates from threads rather than from forked worker processes, so the Emissary pod no longer runs five extra diagd processes once the first status update is posted.

additions (2)

  • TLSContexts and the tls settings of a Host now accept signature_algorithms
  • The emissary-crds chart can now schedule the emissary-apiext Deployment with apiext.nodeSelector and apiext.tolerations.

constraints (1)

  • The HTTP/1 QUERY method is now forwarded upstream rather than rejected with a 400.
Emissary-Ingressをスタックに追加

対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチと破壊的変更も、その一例です。

スタックに追加 →
公式リリースノート ↗Emissary-Ingressのリリース一覧 →