CNCF graduated·incubating 프로젝트 릴리스 노트의 AI 분석.
잘못된 HTTPProxy 구성에 관한 보안 수정과 의존성 및 도구체인 업데이트가 포함되어 있습니다. Kubernetes 1.32부터 1.34까지 테스트된 호환성 범위가 명시되어 있습니다.
조치 필요 (1)
securitycriticalgolang. 업데이트
golang.을 v0.55.0으로 업데이트했습니다. 이 변경은 CVE-2026-39821과 관련됩니다.
영향 확인 (1)
securitymedium잘못된 HTTPProxy 구성 거부
fallback certificate를 설정하고 JWT verification을 활성화한 경우에 적용됩니다.
이번 릴리스는 Gateway API 호환성과 분석기 및 HBONE 조정 기능을 추가하고, 인증서·컨트롤러·프로브·출력·권한 처리 문제를 바로잡습니다. 권한 관련 보안 문제가 수정되었으므로 업그레이드가 필요합니다.
조치 필요 (1)
security네임스페이스 간 프록시 및 설정 덤프 접근 차단
인증된 워크로드가 다른 네임스페이스의 프록시를 열거하고 설정 덤프를 가져갈 수 있던 문제를 수정했습니다. istio.와 istio.에 관련된 접근이 영향을 받았습니다.
영향 확인 (2)
securityAuthorizationPolicy 정규식 메타문자 권한 우회 수정
적용 대상이 릴리스 노트에 명시되지 않았습니다.
breakingAWS EKS ambient mesh Pod의 kubelet 상태 프로브 실패 수정
ambient mesh Pod가 AWS EKS에서 실행되면서 Security Groups for Pods(branch ENI)를 사용할 때 적용됩니다.
Gateway API 버전 지원과 새로운 진단 및 구성 제어가 추가되고, 여러 정확성 문제가 수정되었습니다. 업그레이드가 필요한 보안 수정도 포함됩니다.
조치 필요 (1)
securityXDS 디버그 엔드포인트의 네임스페이스 권한 검사 수정
StatusGen이 제공하는 istio.와 istio.에 동일 네임스페이스 권한 검사가 적용됩니다. 이제 시스템 호출자가 아닌 요청은 같은 네임스페이스의 대상만 조회할 수 있으며, 다른 네임스페이스 워크로드의 프록시 목록이나 구성 덤프를 열람할 수 없습니다.
영향 확인 (1)
securityAuthorizationPolicy 정규식 기반 권한 우회 수정
source. 또는 source.를 구성한 경우에 적용됩니다.
네이티브 사이드카가 GA 단계로 승격되고, 기본 사이드카 모드와 타임스탬프 처리 방식이 바뀌었습니다. 정확성 문제와 공개된 CVE 11건을 수정했으며 여러 의존성도 업데이트했습니다.
조치 필요 (2)
securityhigh공개 CVE 11건 수정
다음 공개 취약점이 수정되었습니다: CVE-2026-42501, CVE-2026-42499, CVE-2026-39836, CVE-2026-39826, CVE-2026-39825, CVE-2026-39823, CVE-2026-39820, CVE-2026-39819, CVE-2026-39817, CVE-2026-33814, CVE-2026-33811.
breaking네이티브 사이드카 모드 기본값 변경
config. 설정이 네이티브 사이드카 모드를 기본값으로 사용하도록 바뀌었습니다.
운영자가 확인할 수 있는 버그 수정과 동작 조정이 포함되어 있으며, 특정 설정에서는 EndpointSlice 감시에 라벨 조건이 추가됩니다. Helm 설정 범위와 의존성 및 이미지도 갱신됐습니다. 보안 관련 의존성 업데이트가 포함되지만, 명시된 CVE나 권고 식별자는 없습니다.
조치 필요 (2)
securitygithub. 모듈 업데이트
보안 관련 갱신으로 github. 모듈을 v0.로 업데이트했습니다.
breaking서비스 라벨에 따른 EndpointSlice 감시 필터링
loadbalancer/reflectors에서 EndpointSlice 감시 대상이 서비스 라벨에 따라 필터링됩니다.
영향 확인 (1)
breakingEndpointSlices 감시에 서비스 프록시 라벨 필터 적용
--k8s-service-proxy-name을 설정한 경우에 적용됩니다.
기존 동작을 제한하는 변경과 버그 수정, 새 메트릭 및 Helm 이미지 재정의가 포함됩니다. 의존성과 이미지가 업데이트되고 컨테이너 이미지 매니페스트가 갱신되었으며, 권고 식별자는 명시되지 않았습니다.
조치 필요 (1)
securitygithub. 의존성 업데이트
github. 의존성을 v0.로 업데이트했습니다.
영향 확인 (1)
breakingCiliumLocalRedirectPolicy addressMatcher 덮어쓰기 동작 변경
CiliumLocalRedirectPolicy에서 addressMatcher를 사용하고 --enable-lrp-address-matcher-override=true를 활성화하지 않은 경우에 적용됩니다.
