CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
運用者向けの多数の不具合修正と挙動の是正を中心に、依存関係やイメージの更新、新たに適用されたデコーダーメモリ上限を含みます。セキュリティアドバイザリ識別子は示されていませんが、CIDRポリシーの迂回を修正する変更が含まれます。
影響確認 (1)
securityendpoint のCIDRポリシー迂回と再起動後のトラフィック損失を修正
適用対象はリリースノートに明記されていません。
エージェントの再起動後に発生していた、CIDRポリシーの無言の迂回とトラフィックのドロップを修正しました。関連する変更は cilium/cilium#47954 と cilium/cilium#47880 です。
ホストファイアウォールのプロトコル対応に加え、ネットワークや安定性に関する不具合修正、ランタイム動作と可観測性の変更が含まれています。依存関係やコンテナイメージも更新され、google. の更新はセキュリティ修正として扱われていますが、脆弱性の内容は公開されていません。
要対応 (1)
securitygoogle. の v1.82.1 への更新
google. を v1.82.1 に更新しました。この更新はセキュリティ修正です。
Gateway API、ネットワーク、IPAM、ポリシー、可観測性、データパスにわたる機能追加と保守修正を含むリリースです。非推奨設定の削除や名称変更、デフォルト値と要件の変更、メトリクスや連携機能の削除があるため、該当する設定や機能を使う環境では移行内容の確認が必要です。セキュリティ関連の依存モジュールも更新されています。
要対応 (11)
securitygoogle. の更新
セキュリティ更新として google. が v1.79.3 に更新されました。
securitygoogle. の更新
セキュリティ更新として google. が v1.82.1 に更新されました。
securityhelm. の更新
セキュリティ更新として helm. が v4.1.4 に更新されました。
securitygithub. の更新
セキュリティ更新として github. が v1.6.3 に更新されました。
securitygithub. の更新
セキュリティ更新として github. が v4.1.4 に更新されました。
securitygithub. の更新
セキュリティ更新として github. が v0.5.1 に更新されました。
breakingデフォルト CNI 設定バージョンの更新
デフォルトの CNI 設定バージョンが 0.3.1 から 1.0.0 に更新されました。
breakingIPAM メトリクスの削除
IPAM メトリクス cilium_operator_ipam_ips と cilium_operator_ipam_available_interfaces が削除されました。
breakingCNI 設定バージョンのデフォルト変更
デフォルトの CNI 設定バージョンが 0.3.1 から 1.0.0 に変更されました。
breakingネイティブヒストグラム出力のデフォルト化
すべてのヒストグラムで、ネイティブヒストグラムがデフォルトで出力されるようになりました。
breakingエージェント bootstrap メトリクスの削除
エージェントの bootstrap メトリクスが削除されました。
影響確認 (28)
securitytbid トラフィックのホスト名前空間漏えい修正
tbid トラフィックを使用している場合に該当します。
明示的な tbid トラフィックがホストのネットワーク名前空間へ漏れないよう修正されました。
breakingdocker libnetwork plugin の廃止
docker libnetwork plugin を使用している場合に該当します。
docker libnetwork plugin は廃止され、利用できなくなりました。
breakingces-slice-mode オプションの削除
ces-slice-mode を設定している場合に該当します。
非推奨だった ces-slice-mode オプションが削除されました。
事前準備 (6)
deprecatedBeta Mutual Auth サポートの非推奨化削除時期は未定
Mutual Auth を使用している場合に該当します。
Cilium の Beta Mutual Auth サポートは非推奨になり、将来のバージョンで削除されます。
deprecatedIP アドレス設定フィールドの非推奨化
addresses[]. または interfaces[]. を設定している場合に該当します。
従来のアドレス単位の addresses[]. とフラットな interfaces[]. フィールドが非推奨になりました。
deprecatedローカル REST BGP API の非推奨化削除時期は未定
ローカル REST BGP API を使用している場合に該当します。
ローカル REST BGP API が非推奨になり、将来削除されます。
正確性に関する多数の修正を中心に、Gateway APIやテレメトリの追加、依存関係とイメージの更新、内部動作の変更を含みます。セキュリティアドバイザリや、明示的に説明された脆弱性はありません。
影響確認 (1)
breakingHelmでのホストファイアウォール無効化処理の修正
hostFirewall.をHelmでtrueからfalseに切り替えて無効化する場合に適用されます。
HelmでhostFirewall.を無効化した際、実行中のConfigMapでホストファイアウォールが有効なまま残る不具合を修正しました。
保守に重点を置いたリリースで、正確性に関する修正、依存関係の更新、オペレーターのトラブルシューティング機能の改善が含まれています。名前空間バイパスの問題に対するセキュリティ修正もあります。アップグレードは概ね容易ですが、削除された古いHelm設定を使用している構成は確認が必要です。
影響確認 (3)
securityipBlock ルールの名前空間バイパス修正
ipBlock を設定している場合に該当します。
セレクタを持たない ipBlock ルールで、ワイルドカードによる名前空間のバイパスが発生する問題を修正しました。
breakingloadBalancer. オプションの削除
loadBalancer. を設定している場合に該当します。
Helmの loadBalancer. オプションを削除しました。
breakingL2 Podアナウンスのインターフェース設定変更
l2podAnnouncements. を設定し、L2 Podアナウンスを有効にしている場合に該当します。
エージェントが認識しなくなったConfigMapキーを生成する l2podAnnouncements. Helm値を削除しました。L2 Podアナウンスを有効にした際にクラッシュループが発生する問題を防ぐため、代わりに l2podAnnouncements. を使用します。
運用者向けの不具合修正に加え、設定によっては EndpointSlice の監視条件が変わり、対応するラベルが必要になりました。Helm の設定項目や外部イメージの指定が拡張され、依存モジュールとイメージも更新されています。
要対応 (2)
securitygithub. を v0.5.1 に更新
セキュリティ関連の更新として、依存モジュール github. を v0.5.1 に更新しました。
breakingloadbalancer/reflectors の EndpointSlice 監視をサービスラベルで絞り込み
loadbalancer/reflectors が監視する EndpointSlice を、サービスラベルで絞り込むようになりました。
影響確認 (1)
breakingEndpointSlices の監視にサービスプロキシ名ラベルの絞り込みを追加
--k8s-service-proxy-name を設定している場合に適用されます。
--k8s-service-proxy-name を設定すると、EndpointSlices の監視時に service. ラベルで絞り込むようになりました。これは既存の Services の絞り込みと同じ動作です。EndpointSlices を手動管理している場合は、一致するラベルの付与が必要です。
既存の挙動を制限する変更に加え、バグ修正、新しいメトリクス、Helmでのイメージ上書き、依存関係とイメージ、コンテナイメージマニフェストの更新を含みます。アドバイザリ識別子は示されていません。
要対応 (1)
securitygithub. の更新
依存モジュール github. を v0. に更新しました。
影響確認 (1)
breakingCiliumLocalRedirectPolicy の addressMatcher 上書き制限
CiliumLocalRedirectPolicy で addressMatcher を使用し、--enable-lrp-address-matcher-override=true を有効にしていない場合に適用されます。
CiliumLocalRedirectPolicy の addressMatcher は、既存の Service のフロントエンドを上書きしなくなりました。ポリシー削除時のクロスネームスペース通信の乗っ取りと service-map の破損を防ぎます。従来の挙動に戻すには、--enable-lrp-address-matcher-override=true を設定します。
v1.18.9 は、動作の正確性を整える修正と依存関係の更新を含むリリースです。セキュリティに関わる変更も含まれます。
要対応 (2)
security正規表現の $ 文字のエスケープ
正規表現内の $ 文字をエスケープし、インジェクションを防ぐ修正です。
securitygithub. の更新
セキュリティ関連の依存更新として、github. を v4. に更新しました。
運用に関係する不具合修正に加え、新しい設定項目や診断機能、依存関係とイメージの更新が含まれます。セキュリティに関わる修正が2件あり、該当する環境ではアップグレードが必要です。非推奨化や削除の告知はありません。
影響確認 (2)
securityenvoy 管理ソケットのアクセス範囲を修正
envoy を実行している場合に適用されます。
envoy の管理ソケットが全ユーザーからアクセス可能な状態で作成される不具合を修正しました。
securitylocal backends に対する ingress policies の適用を修正
ingress policies と local backends を使用している場合に適用されます。
local backends に対する ingress policies の適用を回避できていた不具合を修正しました。
運用者向けの機能追加と保守変更を含むリリースです。DNSプロキシ、インストール、設定、API、メトリクス、データパスに関わる変更に加え、データパスとclustermeshの修正、既定値や互換性の見直し、非推奨機能の整理が行われています。依存関係の更新も含まれます。
要対応 (15)
securitygithub. を v1.7.29 に更新
github. が v1.7.29 に更新されました。
securitygithub. を v2.4.0 に更新
github. が v2.4.0 に更新されました。
securitygithub. を v28.3.3+incompatible に更新
github. が v28.3.3+incompatible に更新されました。
securitygolang. を v0.45.0 に更新
golang. が v0.45.0 に更新されました。
securityhelm. を v3.18.4 に更新
helm. が v3.18.4 に更新されました。
securityhelm. を v3.18.5 に更新
helm. が v3.18.5 に更新されました。
breakingplpmtud の既定値を blackhole に変更
plpmtud の既定値が blackhole（blackhole-detected）になりました。
breakingAddressScopeMax の既定値を254に変更
AddressScopeMax の既定値が254（ホストスコープ）に変わり、新しいGKEメタデータサーバーとHCPのユースケースに対応しました。関連する設定は --local-max-addr-scope です。
breakingtls authMode の既定値を migration に変更
tls authMode の既定値が migration になりました。
breakingcni の削除タイムアウトを1.5秒に短縮
cni の削除時のタイムアウトが1.5秒に短縮されました。
breakingpolicy-default-local-cluster を既定で設定
policy-default-local-cluster が既定で設定されるようになりました。
breakinghost firewall bypassを既定で無効化
host firewall bypassが既定で無効になりました。
breakingFQDNのmatchpattern sanitizationを厳密化
FQDNのmatchpattern sanitizationが見直され、条件がより厳密になりました。
breakingcilium_host 経由の暗号化トラフィック転送を削除
暗号化トラフィックを cilium_host 経由で転送しなくなりました。
breakingコンテナイメージへのCNI設定ファイルの同梱を削除
コンテナイメージにCNI設定ファイルをインストールしなくなりました。
影響確認 (30)
breakingネットワークポリシーの既定クラスタをローカルに変更
ネットワークポリシーのセレクターで cluster を設定していない場合に適用されます。
ネットワークポリシーのセレクターで cluster を明示しない場合、通信を許可する対象はローカルクラスタだけになります。
breakingCiliumBGPPeeringPolicy v1 APIのサポートを削除
CiliumBGPPeeringPolicy を使用している場合に適用されます。
旧 CiliumBGPPeeringPolicy v1 API のサポートが削除され、v2 APIへの置き換えが必要になりました。
breakingMutual Authentication を既定で無効化
Mutual Authentication を有効にしている場合に適用されます。
Mutual Authentication は、コミュニティからのフィードバックを待つ間、既定で無効になりました。
事前準備 (7)
deprecated--enable-ipsec-encrypted-overlay を非推奨化削除時期は未定
--enable-ipsec-encrypted-overlay を使用している場合に適用されます。
Multicast機能と組み合わせて暗号化オーバーレイを有効にする特別なIPsecモードが非推奨になり、将来のリリースで削除される予定です。
deprecatedToRequires と FromRequires を非推奨化
ToRequires または FromRequires を使用している場合に適用されます。
Kafkaプロトコルのマッチフィールド（beta）と、ポリシーフィールドの ToRequires および FromRequires が非推奨になりました。
deprecatedHelm valuesでのTLS証明書とキーの指定を非推奨化
Helm valuesでTLS証明書またはキーを渡している場合に適用されます。
Helm valuesでTLS証明書やキーを渡す方法が非推奨になりました。
