RATATOSKRATATOSK
로그인

Emissary-Ingress

v4.2.0Networking & Messaging
2026년 11월 10일

ACTION 2CHECK 8OTHER 13

보안과 정확성에 초점을 둔 릴리스로, 내부 API 접근 범위와 Envoy 기본 동작이 달라집니다. 일부 환경에서는 트래픽 라우팅이나 기존에 허용되던 설정의 동작에도 영향을 줄 수 있습니다.

조치 필요 (2)

  • security침해된 eMudhra 중간 인증 기관 신뢰 제거

    이미지의 인증 기관 묶음이 침해된 eMudhra 중간 인증 기관을 더는 신뢰하지 않습니다.

  • security관리자 포트를 통한 diagd 내부 API 접근 차단

    diagd 내부 API, 특히 Emissary에 새 설정 스냅샷을 전달하는 POST /_internal/v0/watt가 더는 관리자 포트 8877을 통해 접근되지 않습니다.

영향 확인 (8)

  • security정규 표현식 일치 모드 변경

    prefix_regex, regex_headers 또는 regex_rewrite를 설정한 경우에 적용됩니다.

    Mapping의 prefix_regex, regex_headers, regex_rewrite 등 정규 표현식을 이제 UTF-8이 아닌 라틴-1 모드로 일치시킵니다. 이 변경은 CVE-2026-73552와 관련됩니다.

  • securitydiagd 바인딩 환경 변수 제거

    AMBASSADOR_DIAGD_BIND_PORT 또는 AMBASSADOR_DIAGD_BIND_ADDREASS를 설정한 경우에 적용됩니다.

    AMBASSADOR_DIAGD_BIND_PORT와 AMBASSADOR_DIAGD_BIND_ADDREASS 환경 변수는 더는 설정할 대상이 없어 제거됩니다.

  • security정제되지 않은 스냅샷 서버 제거

    kubectl port-forward로 스냅샷 서버에 접근하는 경우에 적용됩니다.

    localhost:9696에서 수신하던 스냅샷 서버가 제거됩니다. 이 서버는 비밀 정보까지 포함한 정제되지 않은 스냅샷을 제공했고 kubectl port-forward로 접근할 수 있었습니다.

  • breaking컨테이너 CPU 제한에 맞춘 Envoy 작업 스레드 수 조정

    ENVOY_CONCURRENCY를 설정하지 않은 경우에 적용됩니다.

    ENVOY_CONCURRENCY를 설정하지 않으면 Envoy가 노드의 CPU 수가 아니라 컨테이너의 cgroup CPU 제한에 맞춰 작업 스레드 수를 정합니다.

  • breaking기본 TLS ECDH 곡선에 X25519MLKEM768 추가

    ecdh_curves를 설정하지 않은 경우에 적용됩니다.

    ecdh_curves를 설정하지 않은 Host와 TLSContext의 기본 TLS ECDH 곡선에 X25519MLKEM768이 추가됩니다.

  • breakingerror_response_overrides 기능 비활성화

    error_response_overrides를 설정한 경우에 적용됩니다.

    Ambassador Labs의 error_response_overrides 기능이 완전히 비활성화됩니다. 이를 사용하려고 하면 오류가 보고됩니다.

  • breaking지정한 데이터센터 기준 조회

    datacenter를 설정한 경우에 적용됩니다.

    조회가 이름으로 지정한 데이터센터를 검색합니다. 잘못된 datacenter 값이 우연히 동작하던 경우에는 더 이상 대상을 찾지 못합니다.

  • breaking동일한 targetPort의 서로 다른 hostPort 값 거부

    hostPort와 targetPort를 설정한 경우에 적용됩니다.

    같은 targetPort에 서로 다른 hostPort 값을 지정하면 거부됩니다.

그 외 기록된 변경 13건 전체fixes 6 · value changes 4 · additions 2 · constraints 1

fixes (6)

  • Weighted TCPMappings now divide traffic in the ratio they are configured with.
  • apiext now eagerly generates its webhook server certificate for its well-known Service hostname as part of its readiness check
  • Two ConsulResolvers in different datacenters that watch services with the same name no longer overwrite each other's endpoints.
  • The Helm chart no longer declares the same containerPort twice when several service.ports share a targetPort
  • Two Mappings for the same service, one using the default Kubernetes service resolver and one using an endpoint resolver, no longer share one Envoy cluster.
  • An add_request_headers or add_response_headers entry written as an object with no value (for example cache-control: {append: true}) no longer crashes Emissary.

value changes (4)

  • Update: Upgrade from Envoy 1.37.2 to Envoy 1.40.2
  • The x-envoy-upstream-stream-duration-ms request header is now stripped from external requests
  • Emissary is now built with Go 1.27.3 and the Kubernetes 1.37 client libraries, and its other Go and Python dependencies are updated to their current releases.
  • diagd now posts Ingress and other resource status updates from threads rather than from forked worker processes, so the Emissary pod no longer runs five extra diagd processes once the first status update is posted.

additions (2)

  • TLSContexts and the tls settings of a Host now accept signature_algorithms
  • The emissary-crds chart can now schedule the emissary-apiext Deployment with apiext.nodeSelector and apiext.tolerations.

constraints (1)

  • The HTTP/1 QUERY method is now forwarded upstream rather than rejected with a 400.
Emissary-Ingress 스택에 추가

조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치와 브레이킹 체인지 같은 것들입니다.

스택에 추가 →
공식 릴리스 노트 ↗Emissary-Ingress 릴리스 전체 →