RATATOSKRATATOSK
로그인

Istio

1.28.4Networking & Messaging
2026년 2월 16일

CHECK 5OTHER 7

Istio 1.28.4는 cgo와 TLS 세션 재개에 영향을 주는 보안 문제를 수정하고, 템플릿으로 생성되는 리소스와 주석의 검증을 강화했습니다. 디버그 엔드포인트에는 네임스페이스별 접근 제한이 적용됩니다.

영향 확인 (5)

  • securitycriticalcrypto/tls 세션 재개 시 인증 기관 변경 처리 수정

    변경 가능한 ClientCAs 또는 RootCAs를 사용해 crypto/tls 세션 재개를 수행할 때 적용됩니다.

    CVE-2025-68121에 대응해 crypto/tls 세션 재개 과정에서 변경된 ClientCAs 또는 RootCAs를 제대로 반영하지 못하던 문제를 수정했습니다. Config.Clone에 변경을 적용하거나 Config.GetConfigForClient를 사용할 때 초기 핸드셰이크와 재개된 핸드셰이크 사이의 설정 변경으로 인해 의도하지 않은 서버나 클라이언트와 세션이 재개될 수 있었습니다.

  • securityhighcgo 바이너리의 주석 처리 불일치 수정

    Go와 C/C++ 주석이 포함된 코드에서 cgo 바이너리를 빌드할 때 적용됩니다.

    CVE-2025-61732에 대응해 Go 주석과 C/C++ 주석을 다르게 해석하던 문제를 수정했습니다. 이 차이로 인해 코드가 cgo 바이너리에 몰래 삽입될 수 있었습니다.

  • security게이트웨이 배포 템플릿의 리소스 검증 강화

    게이트웨이 배포 컨트롤러가 템플릿을 렌더링해 Kubernetes 리소스를 생성할 때 적용됩니다.

    게이트웨이 배포 컨트롤러가 템플릿으로 리소스를 만들 때 객체 종류, 이름, 네임스페이스를 검증하도록 했습니다. 템플릿 삽입으로 임의의 Kubernetes 리소스가 생성되는 경로를 차단합니다.

  • security리소스 주석의 줄바꿈 및 제어 문자 검증 수정

    리소스 주석을 템플릿 렌더링 과정에서 처리할 때 적용됩니다.

    템플릿 렌더링을 거치는 리소스 주석이 줄바꿈과 제어 문자를 포함하면 거부하도록 검증을 수정했습니다. 이 문자로 파드 사양에 컨테이너를 삽입할 수 있던 경로를 차단합니다.

  • breaking포트 15014 디버그 엔드포인트의 네임스페이스 권한 제어

    시스템 네임스페이스가 아닌 곳에서 포트 15014의 디버그 엔드포인트를 사용할 때 적용됩니다.

    포트 15014의 디버그 엔드포인트에 네임스페이스 기반 권한 검사를 추가했습니다. 시스템 네임스페이스가 아닌 곳에서는 config_dump, ndsz, edsz 엔드포인트와 같은 네임스페이스의 프록시만 사용할 수 있습니다. 호환성을 위해 ENABLE_DEBUG_ENDPOINT_AUTH=false로 이 검사를 끌 수 있습니다.

그 외 기록된 변경 7건 전체fixes 5 · additions 2

fixes (5)

  • - Fixed a bug where BackendTLSPolicy status could lose track of the Gateway ancestorRef due to internal index corruption. ( Issue #58731 )
  • - Fixed an issue where the istio-cni DaemonSet treated NodeAffinity changes as upgrades, causing CNI config to be incorrectly left in place when a node no longer matched the DaemonSet ’s NodeAffinity rules. ( Issue #58768 )
  • - Fixed incorrect mapping of meshConfig.tlsDefaults.minProtocolVersion to tls_minimum_protocol_version in downstream TLS context.
  • - Fixed an issue causing the ambient multicluster cluster registry to become unstable periodically, leading to incorrect configuration being pushed to proxies.
  • Fixed translation function lookup errors for MeshConfig and MeshNetworks in istioctl.

additions (2)

  • - Added an opt-in feature when using istio-cni in ambient mode to create an Istio owned CNI config file which contains the contents of the primary CNI config file and the Istio CNI plugin. This opt-in feature is a solution to the issue of traffic bypassing the mesh on node restart when the istio-cni DaemonSet is not ready, the Istio CNI plugin is not installed, or the plugin is not invoked to configure traffic redirection from pods to their node ztunnels. This feature is enabled by setting cni.istioOwnedCNIConfig to true in the istio-cni Helm chart values. If no value is set for cni.istioOwnedCNIConfigFilename , the Istio owned CNI config file will be named 02-istio-cni.conflist . The istioOwnedCNIConfigFilename must have a higher lexicographical priority than the primary CNI configuration filename. Ambient and chained CNI plugins must be enabled for this feature to work.
  • - Added a retry mechanism when checking if a pod is ambient enabled in istio-cni . This is to address potential transient failures resulting in potential mesh bypassing. This feature is disabled by default and can be enabled by setting ambient.enableAmbientDetectionRetry in the istio-cni chart.
Istio 스택에 추가

조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치와 브레이킹 체인지 같은 것들입니다.

스택에 추가 →
공식 릴리스 노트 ↗Istio 릴리스 전체 →