Istio

1.31.3Networking & Messaging

2026년 10월 22일

침해된 인증 기관에 대한 신뢰를 제거하고 보안 관련 의존성을 업데이트한 유지보수 릴리스입니다. 운영자에게 보이는 결함도 수정했으며, 새로운 ambient 준비 상태 확인은 선택 기능으로 유지됩니다.

조치 필요 (3)

security침해된 인증 기관 인증서 신뢰 제거
침해된 eMudhra 중간 인증 기관 인증서에 대한 신뢰를 제거했습니다. ubuntu 기반 이미지와 distroless 이미지의 인증 기관 번들에는 이제 emSign ECC Root CA - G3가 포함되지 않습니다.
securityCVE-2026-111943 대응을 위한 Go 업데이트
CVE-2026-111943에 대응해 Go를 1.26.10으로 업데이트했습니다. istiod, istioctl, pilot-agent는 침해된 eMudhra 중간 키가 하나라도 포함된 인증서 체인을 거부합니다.
securityztunnel의 인증서 체인 검증 업데이트
ztunnel의 rustls-webpki를 0.103.16으로 업데이트했습니다. 침해된 eMudhra 중간 키가 포함된 인증서 체인을 거부합니다.

그 외 기록된 변경 4건 전체fixes 4

- Fixed the ambient node-untaint controller removing the cni.istio.io/not-ready taint when only istio-cni was ready. It can now also wait for ztunnel to be ready on the node, so pods are not scheduled onto a node whose ztunnel is still wedged. This is off by default on this release branch and is enabled with PILOT_NODE_UNTAINT_CHECK_ZTUNNEL=true . Only applies when ambient is enabled. ( Issue #52073 )
- Fixed istiod failing to start when the self-signed CA certificate in istio-ca-secret has expired, which can happen when the deployment is scaled to zero for longer than the certificate TTL. The expired certificate is now automatically renewed using the existing private key.
- Fixed istioctl bug-report --duration not filtering logs when used without --end-time .
- Fixed unhealthy endpoint propagation when PILOT_AUTO_SEND_UNHEALTHY_ENDPOINTS or PILOT_SEND_UNHEALTHY_ENDPOINTS is enabled. Unready pods selected by ServiceEntry resources and unhealthy health-checked WorkloadEntry resources selected by Kubernetes Services or ServiceEntry resources are now retained with their health status instead of being omitted. With PILOT_AUTO_SEND_UNHEALTHY_ENDPOINTS enabled (the default), these endpoints can now appear in endpoint discovery responses with unhealthy status.

Istio 스택에 추가

조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치 같은 것들입니다.