RATATOSKRATATOSK
로그인

Istio

1.30.8Networking & Messaging
2026년 11월 6일

CHECK 7OTHER 15

공개된 보안 권고에 대응하는 수정과 추가적인 정확성 개선이 포함된 유지보수 릴리스입니다. 운영자가 새로 적용해야 할 마이그레이션이나 설정 요구 사항은 발표되지 않았습니다.

영향 확인 (7)

  • security앰비언트 모드의 포트 수준 PeerAuthentication 적용 수정

    메시 전체에 STRICT 정책을 적용하면서 포트 수준의 STRICT PeerAuthentication을 사용하고, 워크로드 모드가 PERMISSIVE 또는 DISABLE인 경우에 해당합니다.

    연산자 우선순위 오류로 메시 전체에 STRICT 정책이 적용된 상태에서 워크로드 모드가 PERMISSIVE 또는 DISABLE이면 포트 수준의 STRICT PeerAuthentication이 건너뛰어졌습니다. 그 결과 평문 트래픽이 mTLS를 요구하는 포트에 도달할 수 있던 문제를 수정했습니다. GHSA-rr2c-p22p-6r9r에 대응합니다.

  • security호스트 헤더의 AuthorizationPolicy 조건 비교 수정

    request.headers[:authority] 또는 request.headers[host]에 AuthorizationPolicy 조건을 사용하는 경우에 해당합니다.

    request.headers[:authority] 또는 request.headers[host] 조건이 대소문자를 구분해 일치하면서, 호스트 표기가 다른 요청이 AuthorizationPolicy를 우회할 수 있던 문제를 수정했습니다. GHSA-7m6f-j3gp-2r53에 대응합니다.

  • security오래된 conntrack 항목을 이용한 사이드카 우회 수정

    새 인바운드 연결이 종료된 연결의 4-튜플을 재사용하는 경우에 해당합니다.

    종료된 연결과 같은 4-튜플을 재사용한 새 인바운드 연결이 오래된 conntrack ESTABLISHED 항목과 일치해 사이드카 프록시를 우회할 수 있던 문제를 수정했습니다. GHSA-cxwg-46mx-q8hf에 대응합니다.

  • security잘못된 리소스 이름의 istio.io/debug 요청 처리 수정

    메시 ID가 있는 워크로드가 istio.io/debug xDS 요청을 보내는 경우에 해당합니다.

    리소스 이름이 URL 파싱에 실패하는 istio.io/debug xDS 요청으로 워크로드가 istiod를 중단시키고 전체 메시의 컨트롤 플레인을 반복 충돌 상태로 만들 수 있던 문제를 수정했습니다. GHSA-635j-qv98-9275에 대응합니다.

  • security비어 있는 AuthorizationPolicy 항목의 검증 및 충돌 수정

    앰비언트 모드에서 비어 있는 to 또는 from 항목이 포함된 AuthorizationPolicy를 사용하는 경우에 해당합니다.

    앰비언트 모드에서 비어 있는 to 또는 from 항목을 포함한 AuthorizationPolicy를 검증 웹훅이 거부하지 않아 istiod가 충돌을 반복하고, 해당 정책을 삭제할 때까지 전체 메시의 설정 배포가 중단될 수 있던 문제를 수정했습니다. GHSA-8jw7-82jp-wr2c에 대응합니다.

  • security멀티클러스터 CLUSTER_ID 검증 수정

    멀티클러스터 설치를 사용하는 경우에 해당합니다.

    멀티클러스터 설치에서 프록시가 다른 클러스터의 CLUSTER_ID를 주장하고 SDS를 통해 해당 클러스터의 kubernetes:// 시크릿을 받을 수 있던 문제를 수정했습니다. GHSA-gf6w-6mxv-5fj4에 대응합니다.

  • security잘못된 traceparent 헤더의 ztunnel 처리 수정

    ztunnel이 네 개의 대시 구분 필드가 없는 55바이트 traceparent 헤더를 파싱하는 경우에 해당합니다.

    네 개의 대시로 나뉜 필드가 없는 55바이트 traceparent 헤더를 파싱할 때 ztunnel이 패닉을 일으켜 인바운드 HBONE 연결 작업을 종료하고 해당 연결에 다중화된 모든 스트림을 끊던 문제를 수정했습니다. GHSA-77vw-rg85-wx5x에 대응합니다.

그 외 기록된 변경 15건 전체fixes 15

fixes (15)

  • Fixed the JWKS resolver’s periodic background refresh caching a fetched response without validating that it looks like a JWKS.
  • Fixed an istiod panic when outlierDetection was applied to a dynamic forward proxy (DFP) wildcard cluster.
  • Fixed an issue where the istio-cni Helm chart did not respect the value set for istioOwnedCNIConfigFileName .
  • Fixed an issue where updates to the istio-cni config via the Helm chart did not restart istio-cni to pick up the new values.
  • Fixed an issue where, when uninstalling the istio-cni Helm chart, the owned istio-cni config was not removed or the primary CNI config did not have the istio-cni plugin removed.
  • Fixed an issue where, when enabling the owned istio-cni config, the primary CNI config was not cleaned up.
  • Fixed an issue where, when changing the owned istio-cni config filename, the previous filename was not removed.
  • Fixed the source_app and destination_app metric labels to use the app pod label when a pod also has app.kubernetes.io/name . Since 1.29.1 they had used app.kubernetes.io/name , which is a regression from the intended behavior.
  • Fixed a situation where fetching the JWKS could block xDS generation.
  • Fixed AuthorizationPolicy ipBlocks and notIpBlocks matching on waypoint and sidecar HBONE internal listeners to use the downstream client’s direct remote IP address instead of the internal Envoy address.
  • Fixed an issue where istio-cni skipped cleanup for an ambient pod deleted together with its namespace, leaving its ztunnel proxy and host probe ipset entry behind.
  • Fixed an issue where a metadata-only update to an EndpointSlice , such as a GitOps tool writing an annotation, triggered an EDS push, and for headless Services with non-HTTP ports a push to every proxy, even though the endpoints were unchanged.
  • Fixed istiod only tolerating the default cni.istio.io/not-ready taint. When taint.name is set to a custom taint, the istiod deployment now tolerates that taint, so istiod can be scheduled onto nodes that still carry it.
  • Fixed an issue where a metadata-only update to an Istio config resource, such as a GitOps tool writing an annotation, triggered a push whenever the resource carried any istio.io label or annotation, for example istio.io/rev . A push is now triggered only when the spec or the value of an istio.io label or annotation changes.
  • Fixed a regression where a Telemetry resource in a waypoint’s own namespace, selected by targetRefs or selector , was not applied when the waypoint served a Service in a different namespace.
Istio 스택에 추가

조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치 같은 것들입니다.

스택에 추가 →
공식 릴리스 노트 ↗Istio 릴리스 전체 →