リリース
CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
HTTPProxy の不正な設定に関するセキュリティ修正が含まれます。依存関係とツールチェーンが更新され、Kubernetes 1.32 から 1.34 でテストされています。
要対応 (1)
securitycritical
golang.を v0.55.0 に更新org/x/net golang.を v0.55.0 に更新しました。対象の脆弱性識別子は CVE-2026-39821 です。org/x/net
影響確認 (1)
securitymedium
HTTPProxyの不正なフォールバック証明書設定を拒否HTTPProxyでfallback certificateを設定し、JWT verificationを有効にしている場合に適用されます。
Emissary v4.1.0は、Envoyの依存関係を更新し、空の差分を含むスナップショットで古いキャッシュが残る問題を修正したリリースです。Istio mTLS証明書のローテーションに関係する環境では、影響を確認する対象となります。
原文 ↗
Gateway API、ambientモード、テレメトリ、Helm、運用機能に関する新しい機能が追加されています。XDSデバッグエンドポイントの認証要件と、Istioイメージのデフォルトレジストリ変更は、利用環境の設定確認が必要な変更です。アドバイザリ識別子や、明示的に開示された脆弱性はありません。
要対応 (1)
breakingIstioイメージのデフォルトレジストリ変更
Istioイメージのデフォルトレジストリが
registry.になりました。istio. io
影響確認 (1)
breakingXDSデバッグエンドポイントの認証必須化
ENABLE_DEBUG_ENDPOINT_AUTHが設定されている場合に適用されます。
Gateway API への対応、analyzer と HBONE の調整機能が追加され、証明書、コントローラー、プローブ、出力、認可に関する問題が修正されています。認可に関するセキュリティ修正を含むため、該当する環境ではアップグレードが必要です。
要対応 (1)
security名前空間をまたぐプロキシ列挙と設定ダンプ取得の認可修正
認証済みのワークロードが、別の名前空間にあるワークロードのプロキシを列挙し、設定ダンプを取得できていた問題を修正しました。対象には
istio.とio/debug/syncz istio.が含まれます。io/debug/config_dump
影響確認 (2)
security
AuthorizationPolicyの正規表現メタ文字処理の修正適用対象はリリースノートに明記されていません。
breakingAWS EKS の ambient mesh Pod における kubelet ヘルスプローブの修正
ambient mesh の Pod を AWS EKS 上で動かし、Security Groups for Pods（branch ENI）を使用する場合に適用されます。
Gateway APIのバージョン対応に加え、診断および設定の制御機能が追加され、正確性に関する問題も修正されています。セキュリティ修正も2件含まれており、該当する環境ではアップグレードが必要です。
要対応 (1)
securityXDSデバッグエンドポイントの名前空間認可を修正
StatusGenが提供するistio.とio/debug/syncz istio.に、非システム呼び出し元への同一名前空間認可が適用されるようになりました。別の名前空間のワークロードについて、プロキシの列挙や設定ダンプの取得ができないように修正されています。io/debug/config_dump
影響確認 (1)
security
AuthorizationPolicyの正規表現エスケープを修正source.またはprincipals source.を設定している場合に適用されます。namespaces
サイドカーの既定モードを変更し、native sidecars をGAに昇格しました。正確性に関する修正、タイムスタンプ処理の設定対応、11件のCVE修正、依存関係の更新を含みます。
要対応 (2)
securityhigh11件のCVEを修正
次のCVEを修正しました。CVE-2026-42501、CVE-2026-42499、CVE-2026-39836、CVE-2026-39826、CVE-2026-39825、CVE-2026-39823、CVE-2026-39820、CVE-2026-39819、CVE-2026-39817、CVE-2026-33814、CVE-2026-33811。
breaking
config.の既定動作を変更linkerd. io/proxy-enable-native-sidecar サイドカーの既定モードを変更し、
config.で指定されるモードがデフォルトになります。linkerd. io/proxy-enable-native-sidecar
運用時に影響する不具合修正に加え、監視対象の絞り込み条件の変更、Helm設定の拡張、依存関係とイメージの更新が含まれます。セキュリティ関連の依存モジュール更新もありますが、CVEやアドバイザリ識別子は明示されていません。
要対応 (2)
security
github.をv0.5.1へ更新com/moby/spdystream セキュリティ関連の更新として、依存モジュール
github.をv0.5.1へ更新しました。com/moby/spdystream breaking
EndpointSlice監視のサービスラベル絞り込みloadbalancer/reflectorsで、EndpointSliceの監視対象をサービスラベルで絞り込むようにしました。
影響確認 (1)
breaking
EndpointSlicesの監視時ラベル絞り込み--k8s-service-proxy-nameを設定している場合に適用されます。
既存の挙動を制限する変更に加え、バグ修正、新しいメトリクス、Helmでのイメージ上書き、依存関係とイメージ、コンテナイメージマニフェストの更新を含みます。アドバイザリ識別子は示されていません。
要対応 (1)
security
github.の更新com/moby/spdystream 依存モジュール
github.をcom/moby/spdystream v0.に更新しました。5. 1
影響確認 (1)
breaking
CiliumLocalRedirectPolicyのaddressMatcher上書き制限CiliumLocalRedirectPolicyでaddressMatcherを使用し、--enable-lrp-address-matcher-override=trueを有効にしていない場合に適用されます。