RATATOSKRATATOSK
로그인

Istio

1.29.9Networking & Messaging
2026년 10월 15일

ACTION 3CHECK 10OTHER 13

보안 수정과 인증서 및 전송 관련 보호 조정, 정확성과 안정성을 높이는 수정이 포함된 유지보수 릴리스입니다. 새로 적용된 제한이나 시간 초과가 기존 배포에 영향을 줄 수 있는 환경에서는 업그레이드가 권장됩니다.

조치 필요 (3)

  • security보안 수정 포함

    보안 관련 수정이 포함되었습니다.

  • security워크로드 인증서 TTL 상한 추가

    새 환경 변수 MAX_RA_WORKLOAD_CERT_TTL이 워크로드 인증서의 TTL 상한을 정합니다. 기본값은 48h이며, 탈취된 istio-token으로 인한 피해 범위를 제한합니다.

  • breaking클라이언트 측 요청 시간 초과 처리

    요청이 이제 클라이언트 측에서 시간 초과되므로, 멈춘 요청이 취소되고 구성 요소가 스스로 복구합니다.

영향 확인 (10)

  • securityOAuth2 HTTP filter 원격 충돌 수정

    OAuth2 HTTP filter를 사용하는 경우에 해당합니다.

    :path 헤더가 없는 CONNECT 요청으로 OAuth2 HTTP filter에서 인증 없이 원격 충돌을 일으킬 수 있던 문제를 수정했습니다. 관련 권고는 GHSA-8vc2-jrm4-835w입니다.

  • securityapi_key_auth HTTP filter 충돌 수정

    api_key_auth HTTP filter를 사용하는 경우에 해당합니다.

    :path 헤더가 없는 CONNECT 요청에서 api_key_auth HTTP filter가 충돌하던 문제를 수정했습니다. 관련 권고는 GHSA-47vj-9r25-wv5j입니다.

  • securityAuthorizationPolicy 메서드 규칙 우회 수정

    AuthorizationPolicy와 HTTP/2를 사용하는 경우에 해당합니다.

    대소문자를 바꾼 메서드가 HTTP/2로 전달될 때 AuthorizationPolicy의 메서드 규칙을 우회하던 문제를 수정했습니다. 관련 권고는 GHSA-w44g-8m76-8gc5입니다.

  • security앰비언트 모드 istiod 충돌 수정

    적용 대상이 릴리스 노트에 명시되지 않았습니다.

    IP 주소를 사용하는 웨이포인트의 주소를 ServiceEntry 또는 다른 서비스가 함께 주장할 때 앰비언트 모드의 istiod가 충돌하던 문제를 수정했습니다. 관련 권고는 GHSA-7p2q-4xvg-vxc6입니다.

  • securityistioctl 인증서 검증 수정

    XDS와 서비스 계정 토큰을 함께 사용하는 istioctl 환경에 해당합니다.

    서비스 계정 토큰으로 XDS에 연결할 때 istioctl이 istiod 인증서 검증을 건너뛰던 문제를 수정했습니다.

  • securityistioctl manifest translate 명령 주입 수정

    istioctl manifest translate를 사용하는 경우에 해당합니다.

    조작된 값으로 스크립트가 실행될 때 셸 명령을 추가로 주입할 수 있던 문제를 수정했습니다.

  • securityCreateCertificate 오류 반환 수정

    CreateCertificate를 사용하는 경우에 해당합니다.

    CreateCertificate가 원시 Kubernetes API 오류 문구를 호출자에게 반환하던 문제를 수정했습니다.

  • securityWASM 평문 재시도 대상 제한

    WASM_INSECURE_REGISTRIES를 설정하는 경우에 해당합니다.

    평문 재시도는 운영자가 WASM_INSECURE_REGISTRIES로 명시적으로 허용 목록에 등록한 레지스트리에만 시도됩니다.

  • security디버그 proxyID 일치 기준 수정

    /debug/config_dump, /debug/edsz 또는 XDS istio.io/debug/config_dump를 사용하는 경우에 해당합니다.

    proxyID는 이제 정확한 <pod>.<namespace> 또는 전체 연결 ID여야 합니다. proxyID=istio-ingressgateway 같은 짧은 형식은 더 이상 일치하지 않습니다.

  • breaking1.29 지원 종료

    1.29를 사용하는 경우에 해당합니다.

    1.29의 마지막 릴리스이며, 2026년 10월 15일에 지원이 종료되었습니다.

그 외 기록된 변경 13건 전체fixes 10 · additions 2 · value changes 1

fixes (10)

  • Fixed a panic in istiod when the OIDC/JWT authenticator received a token with a malformed sub claim.
  • Fixed the Kubernetes CSR watch loop using an abandoned time.After timer that could leave a goroutine running past request completion
  • Fixed an HTTPRoute rule with several InferencePool backendRefs configuring only one endpoint picker.
  • Fixed two HTTPRoute s sharing a rules[].name on the same gateway overwriting each other&rsquo;s endpoint picker.
  • Fixed a route rule losing its InferencePool endpoint picker when it also carried a CORS filter.
  • Fixed sidecar proxy UID/GID resolution on OpenShift for workloads bound to a custom SecurityContextConstraint
  • Fixed an issue where the pre-marshaled workload used for change detection and versioning in ambient was not stable when a workload had more than one service
  • Fixed a memory and goroutine leak in Istiod ambient multi-cluster mode
  • Fixed a bug where an internal listener was incorrectly created when the listener is of HTTPS or TLS but without a TLS section defined.
  • Fixed a memory leak in ambient multi-cluster mode where collections were registered with the krt debugger but never unregistered

additions (2)

  • Added PILOT_ENABLE_STRICT_GATEWAY_MERGING to prevent cross-namespace merging of Istio Gateways with managed GatewayAPI Gateways.
  • Added a validation warning for ServiceEntry addresses that are catch-all

value changes (1)

  • aws-lc-rs is updated to 1.18.2, which retries the read instead of aborting.
Istio 스택에 추가

조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치와 브레이킹 체인지 같은 것들입니다.

스택에 추가 →
공식 릴리스 노트 ↗Istio 릴리스 전체 →