RATATOSKRATATOSK
ログイン

Istio

1.29.9Networking & Messaging
2026年10月15日

ACTION 3CHECK 10OTHER 13

複数の脆弱性修正に加え、証明書と通信の保護強化、正確性と信頼性に関する修正を含む保守リリースです。新たに適用される上限やタイムアウトが既存のデプロイメントに影響する場合があるため、運用者による更新を要します。

要対応 (3)

  • securityセキュリティ修正

    セキュリティ修正を含みます。

  • securityMAX_RA_WORKLOAD_CERT_TTL による証明書 TTL の上限設定

    新しい環境変数 MAX_RA_WORKLOAD_CERT_TTL を追加しました。既定値は 48h で、TTL に上限を設け、盗まれた istio-token の影響範囲を制限します。

  • breakingクライアントリクエストのタイムアウトと自動復旧

    クライアント側でリクエストがタイムアウトするようになり、停止したリクエストはキャンセルされ、コンポーネントが自動的に復旧します。

影響確認 (10)

  • securityOAuth2 HTTP filter のリモートクラッシュを修正

    OAuth2 HTTP filter を使用している場合に該当します。

    :path ヘッダーのない CONNECT リクエストによって、認証なしでリモートからクラッシュさせられる問題を修正しました。GHSA-8vc2-jrm4-835w に対応します。

  • securityapi_key_auth HTTP filter のクラッシュを修正

    api_key_auth HTTP filter を使用している場合に該当します。

    :path ヘッダーのない CONNECT リクエストでクラッシュする問題を修正しました。GHSA-47vj-9r25-wv5j に対応します。

  • securityHTTP/2 における AuthorizationPolicy メソッドルールの回避を修正

    AuthorizationPolicy と HTTP/2 を使用している場合に該当します。

    HTTP メソッドの大文字・小文字を変更すると AuthorizationPolicy のメソッドルールを回避できる問題を修正しました。GHSA-w44g-8m76-8gc5 に対応します。

  • securityambient モードの istiod クラッシュを修正

    適用対象はリリースノートに明記されていません。

    IP アドレス指定のウェイポイントのアドレスを ServiceEntry または別のサービスが要求した場合に、ambient モードの istiod がクラッシュする問題を修正しました。GHSA-7p2q-4xvg-vxc6 に対応します。

  • securityistioctl の istiod 証明書検証を修正

    istioctl で XDS と service account token を使用している場合に該当します。

    サービスアカウントトークンを使って XDS に接続する際、istiod 証明書の検証を istioctl が省略する問題を修正しました。

  • securityistioctl manifest translate のシェルコマンド注入を修正

    istioctl manifest translate を使用している場合に該当します。

    細工した値により、スクリプトの実行時に追加のシェルコマンドを注入できる問題を修正しました。

  • securityCreateCertificate のエラー応答を修正

    CreateCertificate を使用している場合に該当します。

    CreateCertificate が呼び出し元へ Kubernetes API の生のエラーテキストを返す問題を修正しました。

  • securityWASM_INSECURE_REGISTRIES の平文再試行を制限

    WASM_INSECURE_REGISTRIES を設定している場合に該当します。

    平文での再試行は、運用者が WASM_INSECURE_REGISTRIES で明示的に許可リストへ登録したレジストリに対してのみ行われるようになりました。

  • securityデバッグエンドポイントの proxyID 一致条件を厳格化

    /debug/config_dump、/debug/edsz、または XDS istio.io/debug/config_dump を使用している場合に該当します。

    proxyID は完全な <pod>.<namespace>、または完全な接続 ID と正確に一致する必要があります。proxyID=istio-ingressgateway のような短縮形式は一致しなくなりました。

  • breaking1.29 の最終リリース

    1.29 を使用している場合に該当します。

    1.29 は2026年10月15日にサポート終了となったため、今回が最終リリースです。

その他の記録済み変更 13 件すべてfixes 10 · additions 2 · value changes 1

fixes (10)

  • Fixed a panic in istiod when the OIDC/JWT authenticator received a token with a malformed sub claim.
  • Fixed the Kubernetes CSR watch loop using an abandoned time.After timer that could leave a goroutine running past request completion
  • Fixed an HTTPRoute rule with several InferencePool backendRefs configuring only one endpoint picker.
  • Fixed two HTTPRoute s sharing a rules[].name on the same gateway overwriting each other&rsquo;s endpoint picker.
  • Fixed a route rule losing its InferencePool endpoint picker when it also carried a CORS filter.
  • Fixed sidecar proxy UID/GID resolution on OpenShift for workloads bound to a custom SecurityContextConstraint
  • Fixed an issue where the pre-marshaled workload used for change detection and versioning in ambient was not stable when a workload had more than one service
  • Fixed a memory and goroutine leak in Istiod ambient multi-cluster mode
  • Fixed a bug where an internal listener was incorrectly created when the listener is of HTTPS or TLS but without a TLS section defined.
  • Fixed a memory leak in ambient multi-cluster mode where collections were registered with the krt debugger but never unregistered

additions (2)

  • Added PILOT_ENABLE_STRICT_GATEWAY_MERGING to prevent cross-namespace merging of Istio Gateways with managed GatewayAPI Gateways.
  • Added a validation warning for ServiceEntry addresses that are catch-all

value changes (1)

  • aws-lc-rs is updated to 1.18.2, which retries the read instead of aborting.
Istioをスタックに追加

対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチと破壊的変更も、その一例です。

スタックに追加 →
公式リリースノート ↗Istioのリリース一覧 →