Istio

1.31.3Networking & Messaging

2026年10月22日

侵害された認証局への信頼を除去し、証明書検証に関わる依存関係を更新したセキュリティ重視のメンテナンスリリースです。オペレーターが確認できる不具合も修正され、新しい ambient の readiness check は既定で無効のままです。

要対応 (3)

security侵害された eMudhra 中間 CA 証明書への信頼を除去
侵害された eMudhra 中間 CA 証明書への信頼を除去しました。ubuntu ベースおよび distroless イメージの CA バンドルには、emSign ECC Root CA - G3 を含めなくなりました。
security証明書チェーン検証のための Go 更新
CVE-2026-111943 への対応として Go 1.26.10 に更新しました。istiod、istioctl、pilot-agent では、侵害された eMudhra 中間鍵を含む証明書チェーンを拒否します。
securityztunnel の rustls-webpki 更新
ztunnel の rustls-webpki を 0.103.16 に更新しました。侵害された eMudhra 中間鍵を含む証明書チェーンを拒否します。

その他の記録済み変更 4 件すべてfixes 4

- Fixed the ambient node-untaint controller removing the cni.istio.io/not-ready taint when only istio-cni was ready. It can now also wait for ztunnel to be ready on the node, so pods are not scheduled onto a node whose ztunnel is still wedged. This is off by default on this release branch and is enabled with PILOT_NODE_UNTAINT_CHECK_ZTUNNEL=true . Only applies when ambient is enabled. ( Issue #52073 )
- Fixed istiod failing to start when the self-signed CA certificate in istio-ca-secret has expired, which can happen when the deployment is scaled to zero for longer than the certificate TTL. The expired certificate is now automatically renewed using the existing private key.
- Fixed istioctl bug-report --duration not filtering logs when used without --end-time .
- Fixed unhealthy endpoint propagation when PILOT_AUTO_SEND_UNHEALTHY_ENDPOINTS or PILOT_SEND_UNHEALTHY_ENDPOINTS is enabled. Unready pods selected by ServiceEntry resources and unhealthy health-checked WorkloadEntry resources selected by Kubernetes Services or ServiceEntry resources are now retained with their health status instead of being omitted. With PILOT_AUTO_SEND_UNHEALTHY_ENDPOINTS enabled (the default), these endpoints can now appear in endpoint discovery responses with unhealthy status.

Istioをスタックに追加

対応が必要なリリースが出たときに、週次メールでお知らせします。今回のセキュリティパッチも、その一例です。