Istio
1.28.4Networking & MessagingIstio 1.28.4 は、ビルドや設定、テンプレート処理に起因するセキュリティ上の問題を修正し、コントローラーとデバッグ用エンドポイントの許可範囲を見直したリリースです。該当する機能を利用している環境では、適用条件と既存の互換性設定が関係します。
影響確認 (5)
securitycritical
crypto/tlsセッション再開時の証明書設定検証の修正可変な
ClientCAsまたはRootCAsを使ってcrypto/tlsのセッション再開を利用する場合に適用されます。CVE-2025-68121 に対応し、初回ハンドシェイク後に
ClientCAsまたはRootCAsが変更された場合、失敗すべきセッション再開を受け入れる問題を修正しました。Config.による変更やClone Config.の利用時に、意図しないサーバーまたはクライアントとのセッションが再開される可能性がありました。GetConfigForClient securityhigh
cgoバイナリへのコード混入問題の修正GoとC/C++のコメントを含むコードからcgoバイナリをビルドする場合に適用されます。CVE-2025-61732 に対応し、
GoとC/C++のコメント解析の違いによって、コードがcgoバイナリへ意図せず混入する問題を修正しました。securityゲートウェイデプロイメントコントローラーのリソース検証
ゲートウェイデプロイメントコントローラーが Kubernetes リソースを作成するテンプレートを生成する場合に適用されます。
ゲートウェイデプロイメントコントローラーに、オブジェクトの種類、名前、名前空間を検証する保護機能を追加しました。テンプレートインジェクションによる任意の Kubernetes リソース作成を防ぎます。
securityリソースアノテーションの文字検証
リソースアノテーションをテンプレートレンダリングで処理する場合に適用されます。
リソースアノテーションの検証を修正し、テンプレートレンダリング時に Pod 仕様へコンテナを注入できる改行や制御文字を拒否するようにしました。
breakingデバッグエンドポイントの名前空間単位認可
システム以外の名前空間からポート
15014のデバッグエンドポイントを利用する場合に適用されます。ポート
15014のデバッグエンドポイントに名前空間単位の認可を追加しました。システム以外の名前空間では、config_dump、ndsz、edszエンドポイントと同じ名前空間のプロキシだけにアクセスを制限します。互換性のためにENABLE_DEBUG_ENDPOINT_AUTH=falseで無効化できます。
その他の記録済み変更 7 件すべてfixes 5 · additions 2
fixes (5)
- - Fixed a bug where BackendTLSPolicy status could lose track of the Gateway ancestorRef due to internal index corruption. ( Issue #58731 )
- - Fixed an issue where the istio-cni DaemonSet treated NodeAffinity changes as upgrades, causing CNI config to be incorrectly left in place when a node no longer matched the DaemonSet ’s NodeAffinity rules. ( Issue #58768 )
- - Fixed incorrect mapping of meshConfig.tlsDefaults.minProtocolVersion to tls_minimum_protocol_version in downstream TLS context.
- - Fixed an issue causing the ambient multicluster cluster registry to become unstable periodically, leading to incorrect configuration being pushed to proxies.
- Fixed translation function lookup errors for MeshConfig and MeshNetworks in istioctl.
additions (2)
- - Added an opt-in feature when using istio-cni in ambient mode to create an Istio owned CNI config file which contains the contents of the primary CNI config file and the Istio CNI plugin. This opt-in feature is a solution to the issue of traffic bypassing the mesh on node restart when the istio-cni DaemonSet is not ready, the Istio CNI plugin is not installed, or the plugin is not invoked to configure traffic redirection from pods to their node ztunnels. This feature is enabled by setting cni.istioOwnedCNIConfig to true in the istio-cni Helm chart values. If no value is set for cni.istioOwnedCNIConfigFilename , the Istio owned CNI config file will be named 02-istio-cni.conflist . The istioOwnedCNIConfigFilename must have a higher lexicographical priority than the primary CNI configuration filename. Ambient and chained CNI plugins must be enabled for this feature to work.
- - Added a retry mechanism when checking if a pod is ambient enabled in istio-cni . This is to address potential transient failures resulting in potential mesh bypassing. This feature is disabled by default and can be enabled by setting ambient.enableAmbientDetectionRetry in the istio-cni chart.
対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチと破壊的変更も、その一例です。