リリース

影響確認 (1)

• securityendpoint のCIDRポリシー迂回と再起動後のトラフィック損失を修正

  適用対象はリリースノートに明記されていません。

要対応 (1)

• securitygoogle.golang.org/grpc の v1.82.1 への更新

  google.golang.org/grpc を v1.82.1 に更新しました。この更新はセキュリティ修正です。

要対応 (1)

• securityCVE修正のための依存関係更新

  CVEを修正するため、依存関係を更新しました。

影響確認 (4)

• security空白だけの権限によるサーバークラッシュの修正

  JWT 検証を利用している場合に適用されます。

• securityTLS verify_and_map の認証回避の修正

  TLS verify_and_map を設定している場合に適用されます。

• securityMQTT クライアントの購読権限回避の修正

  MQTT を利用している場合に適用されます。

• リリースページにあと 1 件

要対応 (1)

• breakingディスク同時実行用セマフォを4096スロットに変更

  ディスク同時実行用セマフォのスロット数を、従来のCPUスケール方式から4096に増やしました。

要対応 (11)

• securitygoogle.golang.org/grpc の更新

  セキュリティ更新として google.golang.org/grpc が v1.79.3 に更新されました。

• securitygoogle.golang.org/grpc の更新

  セキュリティ更新として google.golang.org/grpc が v1.82.1 に更新されました。

• securityhelm.sh/helm/v4 の更新

  セキュリティ更新として helm.sh/helm/v4 が v4.1.4 に更新されました。

• securitygithub.com/cloudflare/circl の更新

  セキュリティ更新として github.com/cloudflare/circl が v1.6.3 に更新されました。

• securitygithub.com/go-jose/go-jose/v4 の更新

  セキュリティ更新として github.com/go-jose/go-jose/v4 が v4.1.4 に更新されました。

• securitygithub.com/moby/spdystream の更新

  セキュリティ更新として github.com/moby/spdystream が v0.5.1 に更新されました。

• breakingデフォルト CNI 設定バージョンの更新

  デフォルトの CNI 設定バージョンが 0.3.1 から 1.0.0 に更新されました。

• breakingIPAM メトリクスの削除

  IPAM メトリクス cilium_operator_ipam_ips と cilium_operator_ipam_available_interfaces が削除されました。

• breakingCNI 設定バージョンのデフォルト変更

  デフォルトの CNI 設定バージョンが 0.3.1 から 1.0.0 に変更されました。

• breakingネイティブヒストグラム出力のデフォルト化

  すべてのヒストグラムで、ネイティブヒストグラムがデフォルトで出力されるようになりました。

• breakingエージェント bootstrap メトリクスの削除

  エージェントの bootstrap メトリクスが削除されました。

影響確認 (1)

• securityTLS鍵交換におけるPost-Quantum Cryptographyの既定化

  TLS鍵交換を使用する場合に適用されます。

影響確認 (11)

• securityhighHTTP/2のヘッダー制限と大量送信対策の変更

  HTTP/2を使用している場合に適用されます。

• securityhighHTTP/3のQPACKとcontent-length処理の修正

  HTTP/3を使用している場合に適用されます。

• securityhigh各種入力処理と解凍処理のセキュリティ修正

  DNSクエリ検証、JSONネスト制限、PROXY protocol TLV、フォーマッター、TCP StatsD、TLS SAN、またはZstd解凍を使用している場合に適用されます。

• リリースページにあと 8 件

影響確認 (3)

• securityLeaf接続でのNats-Trace-Dest権限チェック回避を修正

  Leaf接続を利用している場合に該当します。

• security保持メッセージとQoS再送時のサブスクライブ拒否ルールを適用

  MQTTを利用している場合に該当します。

• breaking監視エンドポイントのJSONPコールバック対応を削除

  JSONPコールバック対応を利用している場合に該当します。

要対応 (7)

• securityhighZstd decompressor の展開比率制限を修正

  Zstd decompressor で MaxInflateRatio の上限を入力スライス全体の処理後にしか確認していなかった問題を修正しました。上限を内部の展開ループ内で適用し、しきい値を超えた時点で展開を中止します。

• securitymediumPROXY プロトコルヘッダーの TLV 長計算を修正

  PROXY プロトコルヘッダーでパススルー TLV と追加 TLV を組み合わせた際、最大長を超えてヘッダーに示すサイズと実際の書き込みバイト数が一致しなくなる問題を修正しました。

• securitymediumHTTP 303 内部リダイレクトのセグメンテーションフォールトを修正

  HTTP 303 の内部リダイレクトをボディーのないリクエストで処理する際、確保されていないリクエストボディーバッファーを排出しようとしてセグメンテーションフォールトが発生する問題を修正しました。

• securitymedium破棄後の非同期トークン変更コールバックを修正

  フィルターの破棄後、onDestroy() の呼び出し後に非同期トークン変更コールバックが実行され、解放済みポインターにアクセスして UAF やクラッシュが発生する問題を修正しました。

• securitymediumピア証明書の SAN 検証における NUL バイト処理を修正

  SAN に埋め込まれた NUL バイトがあるピア証明書で、Subject Alternative Name（SAN）を正しく検証できない問題を修正しました。構成によって SAN の解析が NUL バイトで途中切り詰めされ、誤った信頼判断につながる可能性がありました。

• securitymediumクエリー名の長さの妥当性確認を修正

  クエリー名の長さに対する妥当性確認を修正し、異常なプロセス終了を防ぐようにしました。確認に失敗した場合は ENVOY_BUG を使用します。

• securityHTTP/3 の QPACK 処理におけるメモリ枯渇の修正

  HTTP/3 スタックの QPACK ブロック解除処理を修正しました。動的テーブルの更新待ちでブロックされたヘッダーブロックについて、内部デコーダーバッファーに保持されたデータが QUIC の受信フロー制御の計上から外れ、メモリが無制限に増加する問題に対応しています。

要対応 (4)

• securitymediumHTTP 303内部リダイレクトの処理修正

  ボディーのないリクエストでHTTP 303の内部リダイレクトを処理する際、確保されていないリクエストボディーバッファを解放しようとしてセグメンテーションフォールトが発生する問題を修正しました。

• securitymedium非同期トークン変更コールバックの破棄後実行を修正

  フィルターの破棄処理であるonDestroy()の呼び出し後に、非同期トークン変更コールバックが実行される問題を修正しました。解放済みポインターへのアクセスによるuse-after-freeやクラッシュにつながる状態でした。

• securitymedium証明書SANのNULバイト処理を修正

  ピア証明書のSubject Alternative Name（SAN）に埋め込みNULバイトが含まれる場合に、SANを正しく検証できない問題を修正しました。一部の設定でNULバイト以降が切り詰められ、誤った信頼判断につながる可能性がありました。

• securitymediumクエリ名の長さの整合性確認を修正

  クエリ名の長さに対する整合性確認を修正し、異常なプロセス終了を防ぐようにしました。確認に失敗した場合はENVOY_BUGを使用します。

要対応 (12)

• securityhighCVE-2026-47220 のクラッシュを修正

  CVE-2026-47220 に関するクラッシュの不具合が修正されました。

• securityhighCVE-2026-48044 のメモリ枯渇脆弱性を修正

  CVE-2026-48044 に関するメモリ枯渇脆弱性が修正されました。

• securityhighCVE-2026-48042 の JSON 入れ子深度を制限

  CVE-2026-48042 に関して、JSON の入れ子の深さを 1000 に制限しました。

• securitymediumCVE-2026-47692 の不具合を修正

  CVE-2026-47692 に関する不具合が修正されました。

• securitymediumCVE-2026-47205 の use-after-free クラッシュを修正

  CVE-2026-47205 に関する use-after-free によるクラッシュが修正されました。

• securitymediumCVE-2026-48090 の非同期コールバック処理を修正

  CVE-2026-48090 に関して、フィルターの破棄後に非同期トークン変更コールバックが呼び出される不具合が修正されました。

• securitymediumCVE-2026-47778 の SAN 検証を修正

  CVE-2026-47778 に関して、Envoy が Subject Alternative Name（SAN）を検証できない問題が修正されました。

• securitymediumCVE-2026-47204 のクラッシュと use-after-free を修正

  CVE-2026-47204 に関するクラッシュまたは use-after-free が修正されました。

• securitymediumCVE-2026-48497 のクエリ名長検査を修正

  CVE-2026-48497 に関して、クエリ名の長さを検査する処理が修正されました。

• securitymediumCVE-2026-47775 のパディングオラクルに対処

  CVE-2026-47775 に関するパディングオラクルの問題に対処しました。

• securityGHSA-p7c7-7c47-pwch のサービス拒否脆弱性を修正

  GHSA-p7c7-7c47-pwch に関するサービス拒否脆弱性が修正されました。

• breakingメッセージのログレベルを warn に変更

  メッセージのログ出力レベルが warn になりました。

要対応 (16)

• securityhighWasm依存関係の更新

  Wasmで使用する com_github_wasmtime を更新し、CVE-2026-47261 に対応しました。

• securityhighREQUESTED_SERVER_NAME のクラッシュ修正

  REQUESTED_SERVER_NAME の処理でクラッシュする問題を修正しました。CVE-2026-47220 と GHSA-j9wh-4qfm-wf2v に対応しています。

• securityhighzstd RLE zip bombの修正

  zstdのRLE zip bombに関する問題を修正しました。CVE-2026-48044 と GHSA-m3p9-47wh-88wg に対応しています。

• securityhigh入れ子の深いJSONによるスタックオーバーフロー修正

  深く入れ子になったJSONのデストラクタでスタックオーバーフローが発生する問題を修正しました。CVE-2026-48042 と GHSA-f24p-rxw2-g6pv に対応しています。

• securityhighHTTP/3からHTTP/1へのリクエストスマグリング修正

  Content-Length がゼロ以外のヘッダーのみのリクエストによって、HTTP/3からHTTP/1へのリクエストスマグリングが発生する問題を修正しました。CVE-2026-48743 と GHSA-8phg-2h2q-jgxf に対応しています。

• securitymediumルート単位の認可処理のクラッシュ修正

  ルート単位の認可処理でクラッシュする問題を修正しました。CVE-2026-47205 と GHSA-mvh9-767w-x47j に対応しています。

• securitymediumext_proc レスポンス処理の修正

  ext_proc のレスポンスを1つのgRPCメッセージで処理する際の問題を修正しました。CVE-2026-47207 と GHSA-68cv-hq5f-g6xv に対応しています。

• securitymediumルーター内部リダイレクトのクラッシュ修正

  ルーターの内部リダイレクトでクラッシュする問題を修正しました。CVE-2026-47221 と GHSA-rcff-gw58-pjpr に対応しています。

• securitymediumOAuth2コード検証値の修正

  OAuth2コード検証値のパディングオラクルに関する問題を修正しました。CVE-2026-47775 と GHSA-396h-jpq4-vc7p に対応しています。

• securitymediumgrpc_stats フィルターのセグメンテーション違反修正

  Connectプロトコルのリクエストが direct_response ルートに送られた際、grpc_stats フィルターでセグメンテーション違反が発生する問題を修正しました。CVE-2026-47204 と GHSA-3jxh-8p6x-7pf6 に対応しています。

• securitymediumPROXY Protocol v2 ヘッダー生成の修正

  PROXY Protocol v2 ヘッダー生成器が「skipped」TLVを出力し、攻撃者が制御する最大65 KBのデータが上流アプリケーションのストリームに流れ込む問題を修正しました。CVE-2026-47692 と GHSA-wh36-hm39-mm3r に対応しています。

• securitymediumTLS SAN切り詰め処理の認証回避修正

  TLS SANの切り詰め処理で埋め込みNULが認証を回避できる問題を修正しました。CVE-2026-47778 と GHSA-f8x4-rw5x-f3r7 に対応しています。

• securitymediumOAuth2非同期トークン処理の修正

  OAuth2フィルターで、ストリーム破棄後に非同期トークン処理が完了すると解放済みメモリの使用やクラッシュにつながる問題を修正しました。CVE-2026-48090 と GHSA-3cj2-c63f-q26f に対応しています。

• securitymediumDNS UDPフィルターの異常終了修正

  DNS UDPフィルターでプロセスが異常終了する問題を修正しました。CVE-2026-48497 と GHSA-j6g2-wf95-q66q に対応しています。

• securitymediumTcpStatsdSink のヒープバッファオーバーフロー修正

  TcpStatsdSink でヒープバッファオーバーフローが発生する問題を修正しました。CVE-2026-48706 と GHSA-7q3f-gwg7-j8g4 に対応しています。

• securityHTTP/3のQPACK処理に関するサービス拒否の修正

  QPACK のデコードがブロックされた際にHTTP/3スタックでサービス拒否が発生する問題を修正しました。GHSA-p7c7-7c47-pwch に対応しています。

要対応 (1)

• securityhighcom_github_wasmtimeの更新

  CVE-2026-47261への対応として、com_github_wasmtimeを更新しました。

要対応 (1)

• securityhigh深く入れ子になった JSON のスタックオーバーフロー修正

  深く入れ子になった JSON のデストラクタで発生するスタックオーバーフローを修正しました。CVE-2026-48042 に対応しています。

要対応 (1)

• securityhigh深くネストしたJSONのスタックオーバーフローを修正

  深くネストしたJSONをデストラクターで処理した際にスタックオーバーフローが発生する問題を修正しました。CVE-2026-48042 および GHSA-f24p-rxw2-g6pv に対応しています。

要対応 (2)

• securityhighCVE-2026-55225の修正

  CVE-2026-55225を修正しました。

• securitymediumCVE-2026-55226の修正

  CVE-2026-55226を修正しました。

影響確認 (3)

• securityipBlock ルールの名前空間バイパス修正

  ipBlock を設定している場合に該当します。

• breakingloadBalancer.standalone オプションの削除

  loadBalancer.standalone を設定している場合に該当します。

• breakingL2 Podアナウンスのインターフェース設定変更

  l2podAnnouncements.interface を設定し、L2 Podアナウンスを有効にしている場合に該当します。

要対応 (1)

• securityhighEnvoyのメモリ枯渇を引き起こすサービス拒否の修正

  CVE-2026-47774を修正しました。認証されていないリモート攻撃者が、細工したHTTP/2リクエストでEnvoyプロセスのメモリを過剰消費させ、サービス拒否を引き起こせる問題です。Cookieヘッダーのバイト数がリクエストヘッダーサイズの検証に完全には含まれず、HPACKヘッダーブロックの制限もデコード後のヘッダー全体のサイズを制限していませんでした。

要対応 (1)

• securityhighEnvoyのメモリ枯渇によるサービス拒否脆弱性の修正

  CVE-2026-47774では、認証なしのリモート攻撃者が細工したHTTP/2リクエストを送信すると、Envoyプロセスのメモリを枯渇させてサービス拒否を引き起こせる問題がありました。リクエストヘッダーサイズの検証でCookieヘッダーのバイト数が完全には計上されず、HPACKヘッダーブロックの制限もデコード後のヘッダー全体のサイズを制限していませんでした。

要対応 (1)

• securityhighEnvoy のメモリ枯渇によるサービス拒否を修正

  CVE-2026-47774 に対応しました。認証不要のリモート攻撃者が、細工した HTTP/2 リクエストで Envoy プロセスのメモリを枯渇させ、サービス拒否を引き起こせる問題です。リクエストヘッダーサイズの検証で Cookie ヘッダーのバイト数が完全に考慮されていなかったほか、HPACK のヘッダーブロック制限がエンコード後のサイズだけに適用され、デコード後の合計サイズに上限がありませんでした。

要対応 (1)

• securityhighnghttp2へのCVE-2026-27135パッチ適用

  HTTP/2で使用する nghttp2 に CVE-2026-27135 のパッチを適用しました。

要対応 (1)

• securityhighnghttp2のCVE-2026-27135パッチ適用

  nghttp2 の CVE-2026-27135 パッチが適用されました。

要対応 (1)

• securityhighnghttp2へのCVE-2026-27135パッチ適用

  nghttp2にCVE-2026-27135のパッチを適用しました。

要対応 (1)

• securityhighnghttp2のCVE-2026-27135パッチ適用

  http2でnghttp2のCVE-2026-27135パッチを適用しました。

要対応 (1)

• securitycriticalgolang.org/x/net を v0.55.0 に更新

  golang.org/x/net を v0.55.0 に更新しました。対象の脆弱性識別子は CVE-2026-39821 です。

要対応 (1)

• security名前空間をまたぐプロキシ列挙と設定ダンプ取得の認可修正

  認証済みのワークロードが、別の名前空間にあるワークロードのプロキシを列挙し、設定ダンプを取得できていた問題を修正しました。対象には istio.io/debug/syncz と istio.io/debug/config_dump が含まれます。

要対応 (1)

• securityXDSデバッグエンドポイントの名前空間認可を修正

  StatusGenが提供する istio.io/debug/syncz と istio.io/debug/config_dump に、非システム呼び出し元への同一名前空間認可が適用されるようになりました。別の名前空間のワークロードについて、プロキシの列挙や設定ダンプの取得ができないように修正されています。

要対応 (2)

• securityhigh11件のCVEを修正

  次のCVEを修正しました。CVE-2026-42501、CVE-2026-42499、CVE-2026-39836、CVE-2026-39826、CVE-2026-39825、CVE-2026-39823、CVE-2026-39820、CVE-2026-39819、CVE-2026-39817、CVE-2026-33814、CVE-2026-33811。

• breakingconfig.linkerd.io/proxy-enable-native-sidecar の既定動作を変更

  サイドカーの既定モードを変更し、config.linkerd.io/proxy-enable-native-sidecar で指定されるモードがデフォルトになります。

要対応 (2)

• securitygithub.com/moby/spdystream を v0.5.1 に更新

  セキュリティ関連の更新として、依存モジュール github.com/moby/spdystream を v0.5.1 に更新しました。

• breakingloadbalancer/reflectors の EndpointSlice 監視をサービスラベルで絞り込み

  loadbalancer/reflectors が監視する EndpointSlice を、サービスラベルで絞り込むようになりました。

要対応 (1)

• securitygithub.com/moby/spdystream の更新

  依存モジュール github.com/moby/spdystream を v0.5.1 に更新しました。

要対応 (1)

• securitygithub.com/moby/spdystream の更新

  github.com/moby/spdystream を v0.5.1 に更新しました。セキュリティ更新として扱われています。

要対応 (1)

• security/connz における bearer JWTs の非開示

  監視エンドポイント /connz が bearer JWTs を開示しなくなりました。

影響確認 (2)

• security/connz監視エンドポイントでのbearer JWT非開示

  /connz監視エンドポイントを使用している場合に適用されます。

• securityコマンドライン引数で渡したrouteとcluster URLシークレットのマスキング

  routeとcluster URLのシークレットをコマンドライン引数として渡す場合に適用されます。

要対応 (1)

• securityhighnghttp2 の **CVE-2026-27135** 対応

  nghttp2 に **CVE-2026-27135** の修正パッチが適用されました。

影響確認 (2)

• securityhighHTTPProxy の cookieRewritePolicies[].pathRewrite.value によるコード実行脆弱性の修正

  HTTPProxy リソースを使用している場合に該当します。

• breakingEnvoy 1.35.0以降への対応

  Envoy に依存している場合に適用されます。

要対応 (1)

• securityhighCVE-2026-41246のLuaコードインジェクション修正

  CVE-2026-41246（GHSA-x4mj-7f9g-29h4）として報告されたLuaコードインジェクションの脆弱性を修正しました。

影響確認 (1)

• securityhighCookie RewritingのLuaコードインジェクション脆弱性を修正

  cookieRewritePolicies[].pathRewrite.value を設定している場合に適用されます。

要対応 (1)

• securitygithub.com/go-jose/go-jose/v4 の v4.1.4 への更新

  セキュリティ対応として、依存モジュール github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。

要対応 (2)

• security正規表現の $ 文字のエスケープ

  正規表現内の $ 文字をエスケープし、インジェクションを防ぐ修正です。

• securitygithub.com/go-jose/go-jose/v4 の更新

  セキュリティ関連の依存更新として、github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。