CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
保守に重点を置いたリリースで、正確性に関する修正、依存関係の更新、オペレーターのトラブルシューティング機能の改善が含まれています。名前空間バイパスの問題に対するセキュリティ修正もあります。アップグレードは概ね容易ですが、削除された古いHelm設定を使用している構成は確認が必要です。
影響確認 (3)
securityipBlock ルールの名前空間バイパス修正
ipBlock を設定している場合に該当します。
breakingloadBalancer. オプションの削除
loadBalancer. を設定している場合に該当します。
breakingL2 Podアナウンスのインターフェース設定変更
l2podAnnouncements. を設定し、L2 Podアナウンスを有効にしている場合に該当します。
ExternalWorkloads のエンドポイント動作の制限、今後の負荷分散機能に向けたアノテーション対応、ポリシーやプロファイルの修正、依存関係の更新、新しい負荷偏り付け機能を含みます。edge-26.6.3 が優先されるため、このリリースは推奨されていません。
影響確認 (1)
breakingExternalWorkloads のエンドポイントを同じ namespace 内に限定
ExternalWorkloads を使用している場合に適用されます。
正確性に関する修正、セキュリティに関係する依存関係の更新、リゾルバーの互換性に関する制約変更が含まれます。メトリクスの挙動変更や複数の依存関係更新も行われています。
要対応 (1)
securitycriticalgoogle.を1.79.3へ更新
google.を1.77.0から1.79.3に更新しました。:pathヘッダーの先頭スラッシュ欠落によるgRPC-Goの認可バイパスに関するCVE-2026-33186に対応しています。
影響確認 (1)
breakingTekton Resolversの解決対象を制限
Resolver APIを使用している場合に適用されます。
v1.6.3では、Tekton Resolvers の解決対象に関する制約が変更されています。google. に関する依存関係の修正も含まれるため、リゾルバーや gRPC を利用する環境に関係します。
要対応 (1)
securitycriticalgoogle. のCVE修正
google. の更新で CVE-2026-33186 を修正しました。
影響確認 (1)
breakingTekton Resolvers の解決対象を限定
ResolutionRequest オブジェクトで Tekton Resolvers を使用している場合に適用されます。
カレンダーに基づくバージョニングを採用し、コンポーネントや依存関係の更新、新しい機能の追加とデフォルト設定の変更、デプロイや設定に関する不具合修正を含むリリースです。dashboardには破壊的な変更があり、セキュリティ面の強化も含まれますが、具体的な脆弱性やアドバイザリは示されていません。
要対応 (2)
breakingmodel-registryとUIのデフォルト有効化
model-registryとUIがデフォルトで有効になります。
breakingdexの2レプリカ構成への変更
dexがsticky serviceなしで2レプリカ構成で動作するようになります。
影響確認 (1)
breaking破壊的な dashboard 変更に伴うアップグレード手順
dashboardを利用している場合に適用されます。
オペレーター向けの修正と追加が含まれ、LLMInferenceService の機能、ステータスの可観測性、依存関係やイメージが更新されています。セキュリティに関係する依存関係とアプリケーションの修正も含まれます。
要対応 (1)
securityhighazure-core>=1. を固定
azure-core>=1. を固定し、CVE-2026-21226 に対応しました。
影響確認 (3)
securityvllm のセットアップと pillow の CVE 対応を修正
vllm または pillow に依存している場合に適用されます。
breakingllmisvc-crd の誤った CRD を削除
llmisvc-crd を使用している場合に適用されます。
breakingHelm の imagePullPolicy デフォルト値を調整
Helm を使用している場合に適用されます。
ワークフローとMCPの機能拡張を中心に、コントロールプレーン、API、コンポーネント、ライフサイクルに関わる変更が含まれています。バグ修正、依存関係や既定値の更新、互換性に関わる制約に加え、セキュリティ修正も含まれるため、アップグレード前に前提条件と設定への影響を確認する必要があります。
要対応 (8)
securitymediumgolang.の更新
golang.がv0.39.0へ更新され、GO-2026-4962に対応しました。
securitydurabletask-goとpgxの更新
durabletask-goがv0.12.1へ更新され、pgxも更新されました。
breakingWorkflowsRemoteActivityReminderのデフォルト有効化
WorkflowsRemoteActivityReminderがデフォルトで有効になり、アプリ間のワークフローアクティビティ結果がSchedulerのリマインダー経由で配信されます。
breakingコンポーネント群のホットリロード
HotReloadがデフォルトで有効になり、Components、Subscriptions、MCPServers、Configurations、HTTPEndpoints、Resiliencies、WorkflowAccessPoliciesがデフォルトでホットリロードされます。
breakingサイドカーのプローブ既定値の変更
サイドカーのlivenessは、kubeletが再起動するまでの時間が約230秒となるよう緩和され、readinessはより短い時間で反応する設定になりました。
breakingHotReloadのデフォルト有効化
HotReloadがv1.18でデフォルト有効になりました。
breakinglivenessとreadinessのプローブ既定値更新
livenessの既定値が緩和され、readinessの既定値が厳格になりました。
breakingサイドカープローブ既定値の変更
サイドカーのプローブ既定値が変更されました。livenessはkubelet再起動まで約230秒となるよう緩和され、readinessはcontrol-planeで約3秒、daprdで約5秒となるよう短縮されました。
影響確認 (6)
securityサービス呼び出しのパストラバーサル修正
サービス呼び出しを利用している場合に適用されます。
breakingフィーチャーゲートの削除
MCPServerResourceまたはWorkflowAccessPolicyのフィーチャーゲートを設定している場合に適用されます。
breaking旧バージョンへの直接ロールバック制約
適用対象はリリースノートに明記されていません。
事前準備 (1)
deprecatedアルファ版スケジュールRPCの非推奨化
ScheduleJobAlpha1を利用している場合に適用されます。
JetStream、運用、ロギング、subject transformに関する機能が追加され、いくつかの既定値とサポートされる動作も変わっています。JetStreamのstrict modeの扱いとダウングレード互換性を確認する必要があり、JetStreamの回帰も修正されています。追加機能の多くは、採用する場合に対応が必要です。
影響確認 (3)
breaking暗号スイートの既定動作変更
allow_insecure_cipher_suites を有効にする場合に適用されます。
breakingJetStream strict modeの既定有効化
JetStreamを使用する場合に適用されます。
breakingv2.12機能使用時のダウングレード制約
新しいv2.12機能を使用する場合に適用されます。
セキュリティ上の問題への対処と、受信データのサイズ制限に関する修正が含まれます。対象となる機能を利用している構成では、関係する設定を確認する必要があります。
影響確認 (3)
securityステータスページの保存型XSS脆弱性を修正
Alertmanager または Store Gateway を実行している場合に該当します。
securityネイティブヒストグラムのprotobufサイズ制限
ネイティブヒストグラムを利用している場合に該当します。
breakinggzip展開後の出力サイズ制限
OTLPの取り込み経路を利用している場合に該当します。
セキュリティ修正と複数の不具合修正に加え、運用者向けの機能追加や依存関係の更新が含まれます。機能ゲートによる保護が解除された変更も含まれるため、該当する API の利用状況を確認する必要があります。
要対応 (1)
securityhighEnvoy のメモリ枯渇によるサービス拒否を修正
CVE-2026-47774 に対応しました。認証不要のリモート攻撃者が、細工した HTTP/2 リクエストで Envoy プロセスのメモリを枯渇させ、サービス拒否を引き起こせる問題です。リクエストヘッダーサイズの検証で Cookie ヘッダーのバイト数が完全に考慮されていなかったほか、HPACK のヘッダーブロック制限がエンコード後のサイズだけに適用され、デコード後の合計サイズに上限がありませんでした。
影響確認 (1)
breakingListenerSet の機能ゲート保護を解除
ListenerSet APIを利用している場合に適用されます。
HTTP/2のセキュリティ修正、サードパーティ依存関係の脆弱性修正、OAuth2のタイミングサイドチャネル修正を含みます。レスポンスボディの内容とロードバランサー再構築の既定動作も変わるため、該当する構成では運用上の確認が必要です。
要対応 (1)
securityhighnghttp2へのCVE-2026-27135パッチ適用
HTTP/2で使用する nghttp2 に CVE-2026-27135 のパッチを適用しました。
影響確認 (4)
securityhighHTTP/2ヘッダー制限へのCookie計上
HTTP/2を使用しており、envoy.を有効にしていない場合に適用されます。
securityoauth2のHMAC検証におけるタイミングサイドチャネル修正
oauth2を使用している場合に適用されます。
breakingHTTPレスポンスボディからの上流失敗理由の除外
routerを使用しており、envoy.を有効にしていない場合に適用されます。
認証、認可、アカウントおよび管理 API、フェデレーション、依存ライブラリに関するセキュリティ修正を含みます。起動時の動作や SPI の設定、その他の正確性に関する修正も追加されています。
要対応 (2)
securityhighlodash のコードインジェクション脆弱性を修正
CVE-2026-4800 に関連する、lodash のコードインジェクション脆弱性を修正しました。
securitymediumNetty の HTTP/1.0 リクエストスマグリング対策の修正
CVE-2026-42581 に関連する、Netty の HTTP/1.0 における TE と CL の併用がリクエストスマグリング対策を回避する問題を修正しました。
影響確認 (15)
securitymediumKeycloak Server のアクセス制御を修正
account/api を利用している場合に該当します。
securitymediumOIDC トークンイントロスペクションの notBefore 処理を修正
oidc を利用している場合に該当します。
securitymediumサーバー側 WebAuthn 検証の不足を修正
authentication/webauthn を利用している場合に該当します。
保守と機能拡張を中心に、設定や既定動作の変更、削除、運用上の前提や制限を含むリリースです。多数の不具合修正も含まれますが、セキュリティアドバイザリや明示的な脆弱性の報告はありません。
影響確認 (5)
breakingV2 Backing Imagesの削除
V2 Backing Imagesを利用している場合に該当します。
breakingdata-engine-cpu-maskのデフォルト値変更
data-engine-cpu-maskを設定していない場合に該当します。
breaking旧CLI APIバージョンのengine imageにおけるライブマイグレーション制限
CLI APIのバージョンが12未満のengine imageを使用している場合に該当します。
スケーラー、設定項目、メトリクス、認証方式の追加と互換性改善を含むリリースです。カスタムRBACを使う運用ではKubernetes events APIの移行準備が必要で、削除されたスケーラー設定を使っている場合は構成の更新が必要です。
影響確認 (7)
securityリダイレクト時の認証ヘッダー破棄
適用対象はリリースノートに明記されていません。
breaking63文字を超える ScaledObject 名の拒否
ScaledObject の名前が63文字を超える場合に該当します。
breaking0以下の unprocessedEventThreshold の拒否
0以下の unprocessedEventThreshold を設定している場合に該当します。
事前準備 (1)
deprecatedbuildId、selectAllActive、selectUnversioned の非推奨化
buildId、selectAllActive、selectUnversioned のいずれかを設定している場合に該当します。
アルファ段階のスケジューリング機能、新しいフラグやHelm設定が加わり、スケジューラと統合部分の安定性、メトリクスやログの挙動も変わります。アップグレード時にはKubernetesとDRAの互換性要件、DRAスケジューリング統合の既定値、サービス拒否およびPrometheusに関するセキュリティ修正を確認する必要があります。
要対応 (4)
securitymediumgithub.の更新
github.を更新し、格納型XSSのアドバイザリGHSA-vffh-x6r8-xx99に対応しました。
securitymediumadmission webhookのリクエスト本文制限
admission webhookへのリクエスト本文のサイズを制限し、サイズの大きい本文によってwebhookサーバーがメモリ不足になるサービス拒否のリスクを修正しました。関連する識別子はCVE-2026-44247とGHSA-8wxp-xxp2-rcgxです。
breakingDRAスケジューリング統合の既定有効化
DRAスケジューリング統合が既定で有効になりました。対象となる設定項目はpredicate.です。
breakingKubernetes 1.34以降に合わせたDRA既定値の変更
Kubernetes 1.34以降の挙動に合わせ、DRAスケジューリング統合が既定で有効になりました。無効にする場合はpredicate.を設定します。
影響確認 (2)
breakingSchedulingGatesQueueAdmissionの有効化条件
SchedulingGatesQueueAdmissionを有効にする場合に適用されます。
breakinggang-awareプリエンプションとリクレームの設定条件
gangPreemptとgangReclaimを設定し、preemptまたはreclaimを設定していない場合に適用されます。
スケジューリングのオーバーフロー対応と、スケジューリング時のリソース超過を防ぐ仕組みが加わり、API、既定値、制約、メトリクス、フラグにも変更があります。セキュリティ対応としてベースイメージが更新され、複数の不具合も修正されています。
要対応 (1)
securityalpine ベースイメージを alpine:3. に更新
ベースイメージ alpine が alpine:3. から alpine:3. に更新されました。
影響確認 (9)
breakingoverflowAffinities による補助クラスターグループの指定
overflowAffinities を設定する場合に適用されます。
breakingLt と Gt を使う配置許容条件の拒否
spec. に Lt または Gt を設定する場合に適用されます。
breakingkarmada-operator の既定の詳細度を2に変更
オペレーターを実行する場合に適用されます。
依存関係の更新、正確性の修正、クラウド機能とクエリ機能の追加、設定や出力の変更を含むリリースです。識別された脆弱性に対応するセキュリティ関連の依存関係更新も行われています。
要対応 (1)
securityhighGo依存関係の更新
脆弱性のあるGo依存関係が更新され、GHSA-xmrv-pmrh-hhx2 と CVE-2026-34986 に対応しました。
影響確認 (1)
breakingMCPサーバーのデフォルト無効化
MCP_SERVER_ENABLED を設定しない場合に適用されます。
運用向けの正確性修正を中心に、CLIやレポート機能、匿名化、性能、検証、依存関係に関する保守更新を含むリリースです。セキュリティに関わる修正も2件あり、運用者に影響しないリリース工程の変更も含まれます。
要対応 (3)
security依存関係の更新
依存関係を更新し、セキュリティアドバイザリに対応しました。
securityEnvFromのクリアによるシークレット名漏えい対策
removeContainersDataでEnvFromをクリアし、シークレット名が漏えいしないようにしました。
securityEnv[].のクリア
removeContainersDataとremoveEphemeralContainersDataでEnv[].をクリアするようにしました。
影響確認 (3)
security/v1/resultsのIDOR対策強化
/v1/resultsを使用している場合に適用されます。
breakingpdf/html outputの既定出力先をファイルに変更
pdf/html outputを使用している場合に適用されます。
breakingpushの既定値をfalseに変更
pushを使用している場合に適用されます。
AWS、Azure、GCPを対象とする運用機能の追加と拡張に加え、不具合修正や依存関係の更新を含むリリースです。既存のポリシーで特定のフィルターを利用している場合は、設定への影響を確認する内容になっています。
影響確認 (1)
breakingaws. の json-diff フィルター削除
aws. に json-diff フィルターを使うポリシーがある場合に該当します。
運用者向けのAPIや連携機能、設定項目、UI機能が追加され、既存機能の検証や制約も見直されています。セキュリティ上の問題への修正に加え、正確性の修正と性能改善も含まれています。
要対応 (1)
breakingfgprofプロファイルの同時実行を拒否
APIでfgprofプロファイルを同時に実行した場合、その実行を拒否するようになりました。
影響確認 (3)
securityRemote Writeの32MB超過リクエストを拒否
Remote Writeを使用している場合に適用されます。
securitySTACKIT SDの平文シークレット公開を修正
STACKIT SDを使用している場合に適用されます。
breakinggzipエンコードされたOTLP本文のサイズ制限
OTLPを使用している場合に適用されます。
対応エンジンや出力の整理に加え、falco-webuiのアクセス範囲が見直されています。ルールと設定の機能追加、複数の不具合修正、依存関係の更新も含まれますが、セキュリティアドバイザリの告知はありません。
要対応 (1)
breakinggRPC server supportの削除
gRPC server supportを削除しました。
影響確認 (5)
securityplugin library pathのパストラバーサル防止
plugin library pathを設定している場合に該当します。
breakinggRPC outputの削除
gRPC outputを使用している場合に該当します。
breakinggVisor engineサポートの削除
gVisor engineを使用している場合に該当します。
設定生成やメタデータ検証の挙動が変わり、APIとフィーチャーゲートにも成熟度や機能面の更新があります。Snappyで発生していたメモリ破壊と致命的エラーも修正されています。
影響確認 (3)
breakingpdata. フィーチャーゲートの削除
pdata. を使用している場合に適用されます。
breakingcmd/mdatagen の再集約設定生成をデフォルトで有効化
cmd/mdatagen を実行している場合に適用されます。
breakingmetadata. の feature_gates 検証を厳格化
metadata. で feature_gates を設定している場合に適用されます。
Crossplane v2.3.0では、外部 API の依存先パスとリソース型名が変わり、crossplane-runtime の common API も移動しました。依存モジュールと Go の更新により、セキュリティ対応も行われています。
要対応 (14)
securitygithub. の更新
github. を v1.6.3 に更新しました。
securitygoogle. の更新
google. を v1.79.3 に更新しました。
securityOTLP HTTP エクスポーターの更新
go. を v1.43.0 に更新しました。
securitygithub. の更新
github. を v5.17.1 に更新しました。
securitygithub. の更新
github. を v4.1.4 に更新しました。
securitygithub. の更新
github. を v3.0.5 に更新しました。
securitygithub. の更新
github. を v29.2.0+incompatible に更新しました。
securitygithub. の更新
github. を v2.0.6 に更新しました。
securityGo 1.25.9 への更新
Go を 1.25.9 に更新しました。
securitygithub. の更新
github. を v0.5.1 に更新しました。
securitygithub. の更新
github. を v5.18.0 に更新しました。
securitygithub. の更新
github. を v0.11.0 に更新しました。
securitygolang. の更新
golang. を v0.53.0 に更新しました。
securityGo 1.25.10 への更新
標準ライブラリの CVE 修正に対応するため、Go を 1.25.10 に更新しました。
影響確認 (3)
breakingCrossplane API の依存先パス変更
Crossplane API の外部利用側を構築している場合に適用されます。
breakingcommon API の移動
crossplane-runtime の common API を利用している場合に適用されます。
breakingリソース型名の変更
従来の v1. 型を利用している場合に適用されます。
セキュリティ対応と既定のソケットポリシー変更が含まれます。変更内容は seccomp に関するものです。
要対応 (1)
securityhighCVE-2026-46680 の修正
CVE-2026-46680 に対応しました。関連するアドバイザリは GHSA-fqw6-gf59-qr4w です。
影響確認 (1)
breakingseccomp のデフォルトソケットポリシー変更
seccomp を使用している場合に適用されます。
ランタイム、スナップショッター、ストレージ、サーバーの不具合修正に加え、seccompの強化とCVE対応が含まれます。user namespaceでのoverlayfsのrebase機能を無効化し、Runcのtask fieldsを非推奨としています。APIとGoツールチェーンも更新されています。
要対応 (1)
securityhighCVE-2026-46680への対応
CVE-2026-46680に関する修正が含まれます。
影響確認 (1)
breakingoverlayfsのuser namespaceにおけるrebase機能を無効化
overlayfsを使用し、user namespaceで実行している場合に該当します。
事前準備 (1)
deprecatedRunc optionsのtask fieldsを非推奨化
Runc optionsでtask fieldsを設定している場合に該当します。
互換性に影響する廃止や既定値、制約の変更が含まれています。運用者向けの新しい機能と性能改善に加え、依存関係の既知の脆弱性に対応する更新もあります。
要対応 (2)
securityModule Federation パッケージの v2.3.3 更新
既知の脆弱性に対応するため、Module Federation パッケージが v2.3.3 に更新されました。
breaking@remixicon/react の依存バージョン制限
ライセンス変更により、@remixicon/react の依存バージョンは 4.9.0 未満に制限されました。
影響確認 (9)
securityCIMD と DCR の既定ワイルドカード変更
CIMD または DCR を設定している場合に適用されます。
breakingNavItemBlueprint の削除
NavItemBlueprint を使用している場合に適用されます。
breakingrenderInTestApp の描画内容の変更
renderInTestApp を使用している場合に適用されます。
事前準備 (4)
deprecatedPolicyQueryUser. の非推奨化
PolicyQueryUser. を使用している場合に適用されます。
deprecatedEXPERIMENTAL_formDecorators の非推奨エイリアス化
EXPERIMENTAL_formDecorators を設定している場合に適用されます。
deprecatedcatalog. の非推奨化
catalog. を設定している場合に適用されます。
Exporterの処理状況を確認するメトリクスと設定検証APIが追加され、ランタイムおよび設定に関する不具合が修正されています。明示的に設定したPrometheusテレメトリの既定動作とsnappyリクエストのサイズ制限の適用方法が変わり、2つの検証APIは非推奨になっています。
影響確認 (2)
breakingsnappyリクエストへのmax_request_body_size適用タイミングの変更
max_request_body_size を設定している場合に適用されます。
breaking明示的なPrometheusテレメトリ設定の既定値修正
テレメトリのメトリクス設定を構成している場合に適用されます。
事前準備 (1)
deprecated設定検証APIの非推奨化
xconfmap. または confmap. を使用している場合に適用されます。
公開された複数の CVE を含むセキュリティ修正に加え、依存関係の更新、機能改善、バグ修正が含まれています。セキュリティ修正と、operator の更新時にオブジェクトの削除が必要になる問題の修正が、更新に関係する主な内容です。
要対応 (6)
securityhighHTTP/2 CONTINUATION フレーム大量送信によるサービス拒否の修正
CVE-2026-33871 に関する、HTTP/2 CONTINUATION フレームの大量送信によるサービス拒否の問題を修正しました。
securityhighChunked Extension 解析を悪用した HTTP リクエストスマグリングの修正
CVE-2026-33870 に関する、Chunked Extension の Quoted-String 解析を悪用した HTTP リクエストスマグリングの問題を修正しました。
securityhighbouncycastle に関する複数の問題の修正
CVE-2026-0636、CVE-2026-3505、CVE-2026-5598 に関する bouncycastle の問題を修正しました。
securityhighリダイレクト URI 検証回避の修正
CVE-2026-7504 に関する、Keycloak のリダイレクト URI 検証を回避できる問題を修正しました。
securitymediumbcpkix モジュールの暗号アルゴリズム問題の修正
CVE-2026-5588 に関する、Bouncy Castle Crypto Package For Java の bcpkix モジュールで、危険または破損した暗号アルゴリズムが使用される問題を修正しました。
security権限およびポリシー呼び出し順序による client ID 露出の修正
権限とポリシーの呼び出し順序によって client ID が露出する問題を修正しました。
影響確認 (12)
securityhigh/saml エンドポイントへの細工したリクエストによるサービス拒否の修正
/saml を使用している場合に適用されます。
securityhighimplicit flow の回避とアクセストークン開示の修正
implicit flow を使用している場合に適用されます。
securityhighOIDC ログインフローのセッション固定の修正
OIDC login flow を使用している場合に適用されます。
HAMi-core、Ascend/vNPU仮想化、DRA、CDI、監視、メトリクス、デプロイ、デバッグに関する機能が加わっています。スケジューリングや割り当て、デバイス、チャート、互換性の不具合修正に加え、非推奨設定の削除、セキュリティ修正、依存関係の更新も含まれます。
要対応 (3)
securitytensorflow/tensorflowのセキュリティ更新
tensorflow/tensorflowを2.から2.へ更新します。
securitytensorflow/tensorflowのセキュリティ更新
tensorflow/tensorflowを2.から2.へ更新します。
securitygolangのセキュリティ更新
セキュリティ上の問題に対応するため、golangをアップグレードします。
影響確認 (3)
breaking非推奨のscheduler policy configmapを削除
scheduler policy configmapを設定している場合に適用されます。
breakingnvidia.の既定値をfalseに変更
Helmを使用している場合に適用されます。
breakingdevice pluginのホストネットワークを無効化
device pluginが実行される場合に適用されます。
依存関係の更新に加え、運用時に関わる設定や挙動の変更、新しい連携や機能、正確性に関する修正が含まれます。セキュリティ関連の依存関係更新も行われています。
要対応 (1)
securityhighGo依存関係の脆弱性対応
脆弱性のあるGo依存関係を更新し、GHSA-xmrv-pmrh-hhx2およびCVE-2026-34986に対応しました。
影響確認 (2)
breakingprovider configの設定読み取り先変更
provider configを設定している場合に適用されます。
breakingMCPサーバーの既定動作をオプトインに変更
MCPサーバーを使用する場合に適用されます。
Gateway API、ambientモード、テレメトリ、Helm、運用機能に関する新しい機能が追加されています。XDSデバッグエンドポイントの認証要件と、Istioイメージのデフォルトレジストリ変更は、利用環境の設定確認が必要な変更です。アドバイザリ識別子や、明示的に開示された脆弱性はありません。
要対応 (1)
breakingIstioイメージのデフォルトレジストリ変更
Istioイメージのデフォルトレジストリが registry. になりました。
影響確認 (1)
breakingXDSデバッグエンドポイントの認証必須化
ENABLE_DEBUG_ENDPOINT_AUTH が設定されている場合に適用されます。
Gateway API への対応、analyzer と HBONE の調整機能が追加され、証明書、コントローラー、プローブ、出力、認可に関する問題が修正されています。認可に関するセキュリティ修正を含むため、該当する環境ではアップグレードが必要です。
要対応 (1)
security名前空間をまたぐプロキシ列挙と設定ダンプ取得の認可修正
認証済みのワークロードが、別の名前空間にあるワークロードのプロキシを列挙し、設定ダンプを取得できていた問題を修正しました。対象には istio. と istio. が含まれます。
影響確認 (2)
securityAuthorizationPolicy の正規表現メタ文字処理の修正
適用対象はリリースノートに明記されていません。
breakingAWS EKS の ambient mesh Pod における kubelet ヘルスプローブの修正
ambient mesh の Pod を AWS EKS 上で動かし、Security Groups for Pods（branch ENI）を使用する場合に適用されます。
