Istio
1.31.2Networking & Messaging脆弱性修正を中心としたメンテナンスリリースで、複数の不具合修正に加えて接続やルーティングの制御が加わっています。オペレーターから見えるデフォルト値や制約にも変更があります。
要対応 (3)
security
MAX_RA_WORKLOAD_CERT_TTLによるワークロード証明書TTLの上限制御MAX_RA_WORKLOAD_CERT_TTL環境変数を追加し、デフォルト値を48時間としてTTLの上限を設定しました。これにより、盗まれたistio-tokenの影響範囲を制限します。security
istiodデバッグエンドポイントのproxyID一致処理を修正istiodのデバッグエンドポイント/debug/config_dump、/debug/edsz、およびXDSのistio.型が、io/debug/config_dump proxyIDの部分一致で対象を選んでいた問題を修正しました。breakingクライアント側のリクエストタイムアウト
リクエストはクライアント側でタイムアウトするようになり、停止したリクエストをキャンセルしてコンポーネントが自動的に復旧するようになりました。
影響確認 (7)
security
OAuth2 HTTP filterのCONNECTリクエスト処理を修正OAuth2 HTTP filterを使用している場合に適用されます。OAuth2 HTTP filterで、:pathヘッダーのないCONNECTリクエストによって認証なしのリモートクラッシュが発生する問題を修正しました。security
api_key_auth HTTP filterのクラッシュを修正api_key_auth HTTP filterを使用している場合に適用されます。:pathヘッダーのないCONNECTリクエストでapi_key_auth HTTP filterがクラッシュする問題を修正しました。securityHTTP/2における
AuthorizationPolicyメソッドルールの回避を修正適用対象はリリースノートに明記されていません。
HTTP/2でメソッドの大文字と小文字を変えると
AuthorizationPolicyのメソッドルールを回避できる問題を修正しました。securityambientモードの
istiodクラッシュを修正適用対象はリリースノートに明記されていません。
IPアドレス指定のwaypointと同じアドレスを
ServiceEntryなどのサービスが要求したとき、ambientモードのistiodがクラッシュする問題を修正しました。security
istioctlのistiod証明書検証を修正適用対象はリリースノートに明記されていません。
サービスアカウントトークンでXDSへ接続する際、
istioctlがistiodの証明書検証を省略していた問題を修正しました。security
CreateCertificateのKubernetes APIエラー処理を修正EXTERNAL_CA=ISTIOD_RA_KUBERNETES_APIを設定している場合に適用されます。実験的なKubernetes CSR RAパスで、
CreateCertificateがKubernetes APIの生のエラー本文を呼び出し元へ返していた問題を修正しました。security
WASM_INSECURE_REGISTRIESで許可したレジストリへの平文再試行WASM_INSECURE_REGISTRIESを設定している場合に適用されます。平文での再試行は、オペレーターが
WASM_INSECURE_REGISTRIESで明示的に許可したレジストリに限って実行されるようになりました。
事前準備 (1)
deprecated
overload.の非推奨化global_downstream_max_connections overload.を設定している場合に適用されます。global_downstream_max_connections 非推奨のランタイムフラグ
overload.を整理しました。global_downstream_max_connections
その他の記録済み変更 17 件すべてfixes 12 · additions 4 · value changes 1
fixes (12)
- Fixed a panic in istiod when the OIDC/JWT authenticator received a token with a malformed sub claim.
- Fixed the Kubernetes CSR watch loop using an abandoned time.After timer that could leave a goroutine running past request completion
- Fixed an HTTPRoute rule with several InferencePool backendRefs configuring only one endpoint picker.
- Fixed two HTTPRoute s sharing a rules[].name on the same gateway overwriting each other’s endpoint picker.
- Fixed a route rule losing its InferencePool endpoint picker when it also carried a CORS filter.
- Fixed sidecar proxy UID/GID resolution on OpenShift for workloads bound to a custom SecurityContextConstraint
- Fixed an issue where, with PILOT_FILTER_GATEWAY_CLUSTER_CONFIG enabled, incremental CDS pushes removed gateway clusters
- Fixed an issue where the pre-marshaled workload used for change detection and versioning in ambient was not stable when a workload had more than one service
- Fixed an issue where the network gateway selected for a workload was picked in a random order when a network had more than one gateway entry
- Fixed configuration dependency filtering for gateways to exclude unrelated configuration updates.
- Fixed removing a single event handler from a CRD-backed informer removing every handler on that informer.
- Fixed an issue where EDS-irrelevant configuration updates coalesced with an endpoint update caused full EDS generation instead of updating only the affected endpoint assignments.
additions (4)
- Added support for cluster-level connection buffer limits ( clusterPerConnectionBufferLimitBytes ) via connectionSettings in ProxyConfig
- Added support for globalDownstreamConnectionLimit in ProxyConfig.connectionSettings , providing a first-class API field for configuring the global downstream connection limit.
- Added a validation warning for ServiceEntry addresses that are catch-all ( 0.0.0.0 , :: ), have an unspecified network ( 0.0.0.0/N , ::/N ), or are a CIDR with a prefix shorter than /8 .
- by adding the PILOT_ENABLE_WDS_DEBOUNCE environment variable, enabled by default.
value changes (1)
- aws-lc-rs is updated to 1.18.2, which retries the read instead of aborting.
対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチと破壊的変更も、その一例です。