Istio
1.30.7Networking & Messaging2026年10月22日
侵害された`eMudhra`証明書への信頼を取り除き、証明書検証に関わる依存関係を更新するセキュリティ重視のメンテナンスリリースです。運用上の不具合も修正されています。
影響確認 (3)
security侵害された
eMudhra中間CA証明書の信頼削除ubuntuベースまたはdistrolessイメージを使用している場合に適用されます。ubuntuベースおよびdistrolessイメージのCAバンドルから、emSign ECC Root CA - G3を含む侵害されたeMudhra中間CA証明書への信頼を削除しました。security
Go1.26.10への更新istiod、istioctl、またはpilot-agentを実行している場合に適用されます。istiod、istioctl、pilot-agentで使用するGoを1.26.10に更新しました。侵害されたeMudhra中間キーを含む証明書チェーンは拒否されます。security
ztunnelのrustls-webpki更新ztunnelを実行している場合に適用されます。ztunnelのrustls-webpkiを0.103.16に更新しました。侵害されたeMudhra中間キーを含む証明書チェーンは拒否されます。
その他の記録済み変更 3 件すべてfixes 3
fixes (3)
- - Fixed the ambient node-untaint controller removing the cni.istio.io/not-ready taint when only istio-cni was ready. It can now also wait for ztunnel to be ready on the node, so pods are not scheduled onto a node whose ztunnel is still wedged. This is off by default on this release branch and is enabled with PILOT_NODE_UNTAINT_CHECK_ZTUNNEL=true . Only applies when ambient is enabled. ( Issue #52073 )
- - Fixed istiod failing to start when the self-signed CA certificate in istio-ca-secret has expired, which can happen when the deployment is scaled to zero for longer than the certificate TTL. The expired certificate is now automatically renewed using the existing private key.
- - Fixed istioctl bug-report --duration not filtering logs when used without --end-time .
Istioをスタックに追加
対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチも、その一例です。