CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
Gateway API、ambientモード、テレメトリ、Helm、運用機能に関する新しい機能が追加されています。XDSデバッグエンドポイントの認証要件と、Istioイメージのデフォルトレジストリ変更は、利用環境の設定確認が必要な変更です。アドバイザリ識別子や、明示的に開示された脆弱性はありません。
要対応 (1)
breakingIstioイメージのデフォルトレジストリ変更
Istioイメージのデフォルトレジストリが registry. になりました。
影響確認 (1)
breakingXDSデバッグエンドポイントの認証必須化
ENABLE_DEBUG_ENDPOINT_AUTH が設定されている場合に適用されます。
ポート 15010 のXDSデバッグエンドポイント syncz と config_dump で、ENABLE_DEBUG_ENDPOINT_AUTH=true の場合に認証が必要になりました。ENABLE_DEBUG_ENDPOINT_AUTH のデフォルト値は true です。
Gateway API への対応、analyzer と HBONE の調整機能が追加され、証明書、コントローラー、プローブ、出力、認可に関する問題が修正されています。認可に関するセキュリティ修正を含むため、該当する環境ではアップグレードが必要です。
要対応 (1)
security名前空間をまたぐプロキシ列挙と設定ダンプ取得の認可修正
認証済みのワークロードが、別の名前空間にあるワークロードのプロキシを列挙し、設定ダンプを取得できていた問題を修正しました。対象には istio. と istio. が含まれます。
影響確認 (2)
securityAuthorizationPolicy の正規表現メタ文字処理の修正
適用対象はリリースノートに明記されていません。
AuthorizationPolicy で、特定の identity フィールドに含まれる正規表現メタ文字がエスケープされないまま生成された Envoy SafeRegex に埋め込まれ、認可を回避できていた問題を修正しました。
breakingAWS EKS の ambient mesh Pod における kubelet ヘルスプローブの修正
ambient mesh の Pod を AWS EKS 上で動かし、Security Groups for Pods（branch ENI）を使用する場合に適用されます。
istio-cni で、Security Groups for Pods（branch ENI）を使用する AWS EKS 上の ambient mesh Pod における kubelet ヘルスプローブの失敗を修正しました。関連する設定として AMBIENT_ENABLE_AWS_BRANCH_ENI_PROBE があります。
