릴리스

영향 확인 (7)

• securityhighCVE-2026-48743 HTTP/3 본문 없는 메시지의 콘텐츠 길이 검증 수정

  envoy.reloadable_features.quic_validate_headers_only_content_length를 활성화한 경우 적용됩니다.

  HTTP/3의 본문 없는 요청과 응답에서 헤더의 콘텐츠 길이를 검증하고, 값이 일치하지 않으면 스트림을 재설정하도록 수정했습니다. 이 동작은 envoy.reloadable_features.quic_validate_headers_only_content_length 런타임 가드로 제어됩니다.

• securityhighCVE-2026-48042 JSON 파서 중첩 깊이 제한 변경

  envoy.reloadable_features.limit_json_parser_nesting_depth를 false로 설정한 경우 적용됩니다.

  JSON 중첩 깊이를 1000으로 제한했습니다. envoy.reloadable_features.limit_json_parser_nesting_depth를 false로 설정하면 이 제한을 10K까지 완화할 수 있습니다.

• securitymediumCVE-2026-47207 예기치 않은 ProcessingResponses 처리 수정

  ext_proc server를 사용하는 경우 적용됩니다.

  ext_proc server가 Envoy에 예상하지 않은 ProcessingResponses를 보내는 문제를 수정했습니다.

• 릴리스 페이지에 4건 더

영향 확인 (11)

• securityhigh%REQUESTED_SERVER_NAME% 포매터 충돌 수정

  %REQUESTED_SERVER_NAME% 포매터를 구성한 경우에 적용됩니다.

  CVE-2026-47220에 해당하는 문제를 수정했습니다. 호스트 또는 원래 호스트가 올바르게 설정되지 않은 상태에서 호스트 값을 읽도록 %REQUESTED_SERVER_NAME% 포매터를 구성하면 비정상 종료하던 문제를 해결했습니다.

• securityhighZstd 압축 해제의 메모리 사용 제한 수정

  Zstd 압축 해제기를 사용하는 경우에 적용됩니다.

  CVE-2026-48044에 해당하는 문제를 수정했습니다. Zstd 압축 해제기가 입력 조각 전체를 처리한 뒤에야 MaxInflateRatio 제한을 확인해 한 번의 process() 호출에서 압축 데이터가 수백 메가바이트로 확장될 수 있던 문제를 해결했습니다. 이제 내부 압축 해제 반복문에서 제한을 확인하고 기준을 넘는 즉시 압축 해제를 중단합니다.

• securityhighHTTP/3 헤더 전용 메시지의 콘텐츠 길이 검증 수정

  HTTP/3를 사용하고 envoy.reloadable_features.quic_validate_headers_only_content_length를 활성화한 경우에 적용됩니다.

  CVE-2026-48743에 해당하는 문제를 수정했습니다. HTTP/3에서 본문 없이 헤더만 있는 요청과 응답의 콘텐츠 길이를 검증하고, 값이 일치하지 않으면 스트림을 재설정하도록 했습니다. 이 동작은 envoy.reloadable_features.quic_validate_headers_only_content_length 런타임 설정으로 제어됩니다.

• 릴리스 페이지에 8건 더

영향 확인 (5)

• securityhighHTTP/3 콘텐츠 길이 검증 수정

  HTTP/3을 사용하는 경우에 적용됩니다.

  HTTP/3 헤더 전용 요청과 응답의 콘텐츠 길이 검증을 수정했습니다.

• securitymediumext_proc의 예기치 않은 응답 전송 수정

  ext_proc 확장을 사용하는 경우에 적용됩니다.

  ext_proc 서버가 Envoy에 예상하지 못한 ProcessingResponses를 보내던 버그를 수정했습니다.

• securitymediumHTTP 303 내부 리디렉션 처리 수정

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

  HTTP 303 내부 리디렉션을 처리할 때 발생하던 문제를 수정했습니다.

• 릴리스 페이지에 2건 더

영향 확인 (1)

• breakingListenerSet 기능의 기능 플래그 적용 제거

  ListenerSet API를 사용하는 경우에 적용됩니다.

  Gateway API v1.5.0부터 ListenerSet 기능이 실험 상태가 아니므로, 이제 PILOT_ENABLE_ALPHA_GATEWAY_API 기능 플래그의 적용을 받지 않습니다.

영향 확인 (1)

• breakingXDS 디버그 엔드포인트 인증 기본값 변경

  ENABLE_DEBUG_ENDPOINT_AUTH가 설정된 경우에 적용됩니다.

  포트 15010의 XDS 디버그 엔드포인트인 syncz와 config_dump는 ENABLE_DEBUG_ENDPOINT_AUTH=true일 때 인증이 필요하며, 이 설정의 기본값은 true입니다.

영향 확인 (2)

• securityAuthorizationPolicy 정규식 메타문자 권한 우회 수정

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

  일부 신원 필드의 정규식 메타문자가 이스케이프되지 않은 채 생성된 Envoy SafeRegex에 들어가던 AuthorizationPolicy 권한 우회를 수정했습니다.

• breakingAWS EKS ambient mesh Pod의 kubelet 상태 프로브 실패 수정

  ambient mesh Pod가 AWS EKS에서 실행되면서 Security Groups for Pods(branch ENI)를 사용할 때 적용됩니다.

  AWS EKS에서 Security Groups for Pods(branch ENI)를 사용하는 ambient mesh Pod의 kubelet 상태 프로브 실패를 수정했습니다. 이 동작은 istio-cni의 AMBIENT_ENABLE_AWS_BRANCH_ENI_PROBE와 관련됩니다.

영향 확인 (1)

• securityAuthorizationPolicy 정규식 기반 권한 우회 수정

  source.principals 또는 source.namespaces를 구성한 경우에 적용됩니다.

  AuthorizationPolicy에서 특정 ID 필드의 정규식 메타문자를 Envoy SafeRegex에 삽입할 때 이스케이프하지 않던 문제를 수정했습니다. 이에 따라 source.principals의 *로 시작하는 접미사 일치와 source.namespaces에서 ., [ 같은 문자가 정규식 와일드카드로 해석되어 정책 의도와 다른 ID를 허용하던 권한 우회가 막힙니다. (Issue #59992)

영향 확인 (10)

• securityhighRBAC의 다중 값 헤더 우회 수정

  RBAC을 사용하는 경우 적용됩니다.

  CVE-2026-26308에서 RBAC의 다중 값 헤더 우회 문제를 수정했습니다.

• securityhigh알려진 기본 키를 이용한 JWKS Resolver 인증 우회 수정

  JWKS Resolver를 사용하는 경우 적용됩니다.

  CVE-2026-31837 및 GHSA-v75c-crr9-733c와 관련해 알려진 기본 키를 이용한 인증 우회가 가능하던 JWKS Resolver 오류를 수정했습니다.

• securitymedium하위 연결 재설정 이후 HTTP 디코드 메서드 처리 수정

  HTTP를 사용하는 경우 적용됩니다.

  CVE-2026-26311에서 하위 연결 재설정 이후 HTTP 디코드 메서드가 차단되지 않던 문제를 수정했습니다.

• 릴리스 페이지에 7건 더

영향 확인 (3)

• securityXDS 디버그 엔드포인트 인증 적용

  XDS debug endpoints를 외부에 노출하는 경우에 적용됩니다.

  XDS debug endpoints를 외부에 노출하는 경우에 적용됩니다.

• securityWasmPlugin 이미지 가져오기 SSRF 수정

  WasmPlugin 이미지 가져오기를 사용하는 경우에 적용됩니다.

  WasmPlugin 이미지 가져오기에서 bearer token realm URL을 검증하도록 수정해 잠재적인 SSRF 문제를 막았습니다.

• securityHTTP 디버그 엔드포인트의 네임스페이스 권한 적용

  HTTP debug endpoints를 외부에 노출하는 경우에 적용됩니다.

  포트 15014의 HTTP debug endpoints에 네임스페이스 기반 권한 확인을 적용해 네임스페이스 간 프록시 데이터 접근을 막았습니다.

영향 확인 (6)

• securityhighRBAC 다중 값 헤더 우회 수정

  RBAC를 사용하는 경우 적용됩니다.

  CVE-2026-26308에 대응해 RBAC에서 여러 값을 가진 헤더를 우회하던 문제가 수정됐습니다.

• securityhighJWKS Resolver 인증 우회 가능성 수정

  JWKS Resolver를 사용하는 경우 적용됩니다.

  CVE-2026-31837 및 GHSA-v75c-crr9-733c에 대응해 알려진 기본 키를 사용한 인증 우회로 이어질 수 있는 JWKS Resolver 오류가 수정됐습니다.

• securitymedium디버그 엔드포인트의 네임스페이스 간 데이터 접근 수정

  Debug Endpoints를 사용하는 경우 적용됩니다.

  CVE-2026-31838 및 GHSA-974c-2wxh-g4ww에 대응해 디버그 엔드포인트를 통한 네임스페이스 간 프록시 데이터 접근 문제가 수정됐습니다.

• 릴리스 페이지에 3건 더

영향 확인 (4)

• securitycriticalTLS 세션 재개 검증 오류 수정

  Config.Clone을 변경과 함께 사용하거나 Config.GetConfigForClient를 사용하는 경우에 적용됩니다.

  crypto/tls 세션 재개 과정에서 초기 핸드셰이크와 재개된 핸드셰이크 사이에 ClientCAs 또는 RootCAs가 바뀌면 실패해야 하는 연결이 성공하던 CVE-2025-68121 문제를 수정했습니다. 그 결과 의도하지 않은 서버와 클라이언트가 세션을 재개할 수 있던 동작이 바로잡혔습니다.

• security게이트웨이 배포 컨트롤러의 리소스 검증 강화

  게이트웨이 배포 컨트롤러가 실행되는 경우에 적용됩니다.

  gateway deployment controller에 객체 유형, 이름, 네임스페이스를 검증하는 보호 장치를 추가했습니다. 템플릿 주입으로 임의의 Kubernetes 리소스가 생성되는 동작을 차단합니다.

• security리소스 주석 검증 강화

  리소스 주석을 구성하는 경우에 적용됩니다.

  리소스 주석을 검증할 때 줄바꿈과 제어 문자를 거부하도록 수정했습니다. 템플릿 렌더링 과정에서 이러한 문자를 이용해 파드 사양에 컨테이너를 삽입하는 동작을 차단합니다.

• 릴리스 페이지에 1건 더

영향 확인 (4)

• breakingiptables 규칙 조정 기본 활성화

  istio-cni DaemonSet을 업그레이드할 때 적용됩니다.

  iptables 조정이 기본 활성화됩니다. istio-cni DaemonSet을 업그레이드하면 네트워크 규칙이 자동으로 갱신됩니다.

• breaking15014 포트 디버그 엔드포인트 권한 검사 기본 활성화

  15014 포트의 디버그 엔드포인트에 적용됩니다.

  15014 포트의 디버그 엔드포인트 권한 검사가 기본 활성화됩니다. 네임스페이스 단위 접근 제어가 적용됩니다.

• breakingEnvoy 메트릭 HTTP 압축 기본 활성화

  클라이언트의 Accept-Header 값에 따라 Prometheus stats endpoint에서 제공되는 Envoy 메트릭에 적용됩니다.

  Envoy 메트릭의 HTTP 압축이 기본 활성화됩니다. 클라이언트의 Accept-Header 값에 따라 Prometheus stats endpoint 응답을 brotli, gzip, zstd로 자동 압축합니다.

• 릴리스 페이지에 1건 더

영향 확인 (2)

• security게이트웨이 배포 컨트롤러의 리소스 검증 강화

  gateway deployment controller가 실행 중인 경우 적용됩니다.

  gateway deployment controller가 객체 유형, 이름, 네임스페이스를 검증하도록 보호 장치를 추가했습니다. 템플릿 주입으로 임의의 Kubernetes 리소스가 생성되는 경로를 차단합니다. (Issue #58891)

• breaking디버그 엔드포인트 접근 제한

  포트 15014의 디버그 엔드포인트를 사용하는 경우 적용됩니다.

  포트 15014의 디버그 엔드포인트에 네임스페이스 기반 권한 부여를 적용합니다. 시스템 네임스페이스가 아닌 경우 config_dump, ndsz, edsz 엔드포인트와 같은 네임스페이스의 프록시만 사용할 수 있습니다. 호환성이 필요하면 ENABLE_DEBUG_ENDPOINT_AUTH=false로 이 동작을 끌 수 있습니다.