Cilium
v1.20.4Networking & Messaging2026년 10월 23일
보안 유지보수를 중심으로 `Go`와 의존성을 갱신하고 사용하지 않는 취약 바이너리를 제거한 릴리스입니다. RRSA 지원과 여러 정확성 수정도 포함되며, 운영자 관점의 큰 호환성 변경은 없습니다.
조치 필요 (2)
security
Go및 의존성 패치 버전 갱신CVE-2026-111943 대응으로
Go를1.으로 올렸습니다. 손상된26. 10 eMudhra중간 인증서를 더 이상 신뢰하지 않으며, 모든 의존성도 최신 패치 버전으로 갱신했습니다.security
pebble바이너리 제거사용하지 않는
pebble바이너리를cilium이미지에서 제거해 Go 표준 라이브러리 취약점 탐지 결과를 해소했습니다.
그 외 기록된 변경 12건 전체fixes 10 · constraints 2
fixes (10)
- fix outer ICMP checksum for ICMP/SCTP NAT error packets
- CiliumEnvoyConfig now only redirects Services in its own namespace, as documented; service references in CiliumClusterwideEnvoyConfig without a namespace default to "default" again.
- Fix NAT46x64 gateway prefix conversion panic
- Fix an issue where terminating backends were evicted from BPF maps when trafficDistribution was enabled.
- Fix invalid L4 checksum on IPv6 ClusterIP reverse NAT for CHECKSUM_PARTIAL packets on kernels < 6.12
- Fix regression in Cilium 1.20.3 where the Gateway API implementation would incorrectly handle BackendTLSPolicy configurations, leading to high Cilium CPU usage and inability to forward traffic.
- Fixes an issue in LBIPAM where on service upsert, if IP allocations are not changed the sharing index is not updated.
- in IPAM ENI and Azure modes the operator now treats nodes as running in multi-pool mode from the very first event.
- Reduce transient DNS SERVFAIL/REFUSED for pods that query immediately at startup by pushing/applying Standalone DNS Proxy policy snapshots more frequently
- Fix Envoy xDS listener handling across restoration, address changes, and rejected updates
constraints (2)
- support RRSA (RAM Roles for Service Accounts) credentials in the IPAM allocator
- Allow wildcard CIDR selectors to match nodes when --policy-cidr-match-mode=nodes is configured
Cilium 스택에 추가
조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치 같은 것들입니다.