リリース

影響確認 (4)

• securitycriticalTLSセッション再開時の証明書設定検証

  Config.Cloneで変更を加える場合、またはConfig.GetConfigForClientを使う場合に適用されます。

  crypto/tlsのセッション再開で、初回ハンドシェイクと再開時の間にClientCAsまたはRootCAsが変更されていると、本来失敗すべきハンドシェイクが成功する問題を修正しました。これにより、意図しないサーバーとのセッションをクライアントが再開したり、意図しないクライアントとのセッションをサーバーが再開したりする事態を防ぎます。CVE-2025-68121に対応しています。

• securityゲートウェイデプロイメントのリソース検証

  ゲートウェイデプロイメントコントローラーが動作している場合に適用されます。

  ゲートウェイデプロイメントコントローラーが、オブジェクトの種類、名前、名前空間を検証するようになりました。テンプレートインジェクションによる任意のKubernetesリソース作成を防ぎます。

• securityリソースアノテーションの文字検証

  リソースアノテーションを設定する場合に適用されます。

  リソースアノテーションの検証で、改行文字と制御文字を拒否するようにしました。テンプレートのレンダリングを介してPod仕様にコンテナを注入される問題を防ぎます。

• リリースページにあと 1 件

影響確認 (4)

• breakingambient mesh の DNS キャプチャを既定で有効化

  ambient mesh のワークロードに適用されます。

  ambient mesh のワークロードでは、DNS キャプチャが既定で有効になりました。セキュリティとパフォーマンスを改善し、サービスディスカバリやトラフィック管理などの高度な機能にも対応します。

• breakingデバッグエンドポイント認可の既定有効化

  ポート 15014 のデバッグエンドポイントに適用されます。

  デバッグエンドポイントの認可が既定で有効になり、ポート 15014 のデバッグエンドポイントに名前空間単位のアクセス制御が適用されます。

• breakingEnvoy メトリクスの HTTP 圧縮を既定で有効化

  Prometheus の stats エンドポイントで、クライアントの Accept-Header に応じた Envoy メトリクスを扱う場合に適用されます。

  Envoy メトリクスの HTTP 圧縮が既定で有効になりました。Prometheus の stats エンドポイントでは、クライアントの Accept-Header の値に応じて brotli、gzip、zstd による圧縮が自動的に選択されます。

• リリースページにあと 1 件

影響確認 (2)

• securityゲートウェイデプロイメントコントローラーのリソース検証

  gateway deployment controller が動作する場合に適用されます。

  gateway deployment controller に、オブジェクトの種類、名前、名前空間を検証する保護策が追加されました。テンプレートインジェクションによる任意の Kubernetes リソース作成を防ぎます。関連する Issue は #58891 です。

• breakingデバッグエンドポイントの名前空間単位認可

  ポート 15014 のデバッグエンドポイントを利用している場合に適用されます。

  ポート 15014 のデバッグエンドポイントに、名前空間単位の認可が追加されました。非システム名前空間では、利用できるエンドポイントが config_dump/ndsz/edsz に限られ、同じ名前空間のプロキシだけを対象にします。互換性のために必要な場合は、ENABLE_DEBUG_ENDPOINT_AUTH=false でこの動作を無効化できます。