Istio

1.30.7Networking & Messaging

2026년 10월 22일

보안 중심 유지보수 릴리스로, 손상된 인증서에 대한 신뢰를 제거하고 인증서 검증 의존성을 갱신했습니다. 운영 버그도 수정했으며, ambient 준비 상태 확인 기능은 선택적으로 활성화됩니다.

영향 확인 (3)

security손상된 eMudhra 인증서에 대한 신뢰 제거
ubuntu 기반 이미지 또는 distroless 이미지를 사용하는 경우 적용됩니다.
손상된 eMudhra 중간 인증 기관 인증서에 대한 신뢰를 제거했습니다. ubuntu 기반 이미지와 distroless 이미지의 인증 기관 묶음에서 emSign ECC Root CA - G3를 제외했습니다.
security손상된 인증서 체인을 거부하도록 Go 갱신
istiod, istioctl 또는 pilot-agent를 실행하는 경우 적용됩니다.
Go를 1.26.10으로 갱신했습니다. istiod, istioctl, pilot-agent에서 손상된 eMudhra 중간 키가 포함된 인증서 체인을 거부합니다. 관련 내용은 CVE-2026-111943에 해당합니다.
securityztunnel의 인증서 검증 의존성 갱신
ztunnel을 실행하는 경우 적용됩니다.
ztunnel의 rustls-webpki를 0.103.16으로 갱신했습니다. 손상된 eMudhra 중간 키가 포함된 인증서 체인을 거부합니다.

그 외 기록된 변경 3건 전체fixes 3

- Fixed the ambient node-untaint controller removing the cni.istio.io/not-ready taint when only istio-cni was ready. It can now also wait for ztunnel to be ready on the node, so pods are not scheduled onto a node whose ztunnel is still wedged. This is off by default on this release branch and is enabled with PILOT_NODE_UNTAINT_CHECK_ZTUNNEL=true . Only applies when ambient is enabled. ( Issue #52073 )
- Fixed istiod failing to start when the self-signed CA certificate in istio-ca-secret has expired, which can happen when the deployment is scaled to zero for longer than the certificate TTL. The expired certificate is now automatically renewed using the existing private key.
- Fixed istioctl bug-report --duration not filtering logs when used without --end-time .

Istio 스택에 추가

조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치 같은 것들입니다.