# Istio 1.29.7

> Networking & Messaging · 2026-08-27

セキュリティ関連の修正を中心とした保守リリースです。EnvoyとIstioの脆弱性修正に加え、認可や既定動作、正確性、性能に関する変更が含まれます。

## 要対応
- **[security]** パラメーター付きパスセグメントのURL正規化を修正
  - パラメーターを含むドットおよびドットドットのパスセグメントについて、URLの正規化処理を修正しました。`CVE-2026-73551`に対応します。
- **[security]** セグメント単位のパラメーターによるパスマッチングを修正
  - セグメント単位のパラメーターを含むパスのマッチング処理を修正しました。`CVE-2026-73511`に対応します。
- **[security]** 汎用HTTPアップグレードのレスポンス汚染を修正
  - 汎用HTTPアップグレードで、ユーザー間のレスポンス汚染が発生する問題を修正しました。`CVE-2026-73548`に対応します。

## 影響確認
- **[security]** `oghttp2`のヒープuse-after-freeを修正
  - HTTP/2を使用している場合に該当します。
  - HTTP/2トレーラーを`END_STREAM`フラグなしで受信した際に、`oghttp2`で発生するヒープのuse-after-freeを修正しました。`CVE-2026-73513`に対応します。
- **[security]** negative-match RBACポリシーの`safe_regex`処理を修正
  - negative-match RBACポリシーを使用している場合に該当します。
  - negative-match RBACポリシーで、非UTF-8のヘッダーバイトに対して`safe_regex`が失敗時に許可する状態になる問題を修正しました。`CVE-2026-73552`に対応します。
- **[security]** QUIC HTTP datagram handlerのuse-after-freeを修正
  - QUIC HTTP datagram handlerを使用している場合に該当します。
  - QUIC HTTP datagram handlerで発生するuse-after-freeを修正しました。`CVE-2026-73512`に対応します。
- **[security]** `ext_authz`のCONNECTリクエスト処理を修正
  - `ext_authz`を使用している場合に該当します。
  - `:path`ヘッダーのないCONNECTリクエストを`ext_authz`が処理した際に異常終了する問題を修正しました。`CVE-2026-73547`に対応します。
- **[security]** HTTP/3のIPv6クライアントアドレス処理を修正
  - HTTP/3を使用している場合に該当します。
  - HTTP/3でスコープ付きIPv6クライアントアドレスを扱う際に異常終了する問題を修正しました。`CVE-2026-73549`に対応します。
- **[security]** `ext_authz` raw HTTP clientのuse-after-freeを修正
  - `ext_authz` raw HTTP clientを使用している場合に該当します。
  - `ext_authz` raw HTTP clientで発生するuse-after-freeを修正しました。`CVE-2026-50572`に対応します。
- **[security]** `HTML stats interface`の保存型XSSを修正
  - `HTML stats interface`を使用している場合に該当します。
  - `HTML stats interface`に保存型クロスサイトスクリプティングの脆弱性が存在する問題を修正しました。`CVE-2026-73546`に対応します。
- **[security]** HTTP/3接続プール選択時のnullポインタ参照を修正
  - HTTP/3を使用している場合に該当します。
  - ALPNに基づくHTTP/3接続プールの選択中に、nullポインタ参照が発生する問題を修正しました。`CVE-2026-48521`に対応します。
- **[security]** 重複した`Host`ヘッダーによるHTTP/2のメモリ枯渇を修正
  - HTTP/2を使用している場合に該当します。
  - 重複した`Host`ヘッダーが破棄される際に、HTTP/2でメモリを消費し続ける問題を修正しました。`CVE-2026-73550`に対応します。
- **[security]** `ignore_path_parameters_in_path_matching`によるRBAC回避を修正
  - `ignore_path_parameters_in_path_matching`を設定している場合に該当します。
  - `ignore_path_parameters_in_path_matching`を利用したRBACの回避が可能になる問題を修正しました。`CVE-2026-73553`に対応します。
- **[security]** `BackendTLSPolicy`の平文フォールバックを修正
  - `BackendTLSPolicy`を設定し、サイドカープロキシを実行していて、`CA reference`がない場合に該当します。
  - `CA reference`が解決できないとき、サイドカープロキシ上の`BackendTLSPolicy`が平文通信へフォールバックする問題を修正しました。`GHSA-qm8v-g4f9-qhjx`に対応します。
- **[security]** `EnvoyFilter`のmatch expressionを1024文字に制限
  - match expressionを指定した`EnvoyFilter`を設定している場合に該当します。
  - `EnvoyFilter`のmatch expressionの長さを1024文字までに制限しました。
- **[security]** ingress gatewayの認可ポリシー適用を修正
  - ingress gatewayを実行している場合に該当します。
  - 認可ポリシーが適用されない問題を修正しました。
- **[security]** `Gateway API`の`ResolvedRefs`による参照先情報の開示を修正
  - `Gateway API`を使用している場合に該当します。
  - 参照を許可するgrantがない場合でも、参照先のSecretまたはConfigMapの存在がリスナーの`ResolvedRefs`ステータスから分かる問題を修正しました。
- **[security]** `istiod`の`jwksUri`取得処理を修正
  - `istiod`を実行し、`jwksUri`を設定している場合に該当します。
  - `istiod`の`RequestAuthentication`における`jwksUri`取得処理のSSRF脆弱性を修正しました。
- **[security]** `ENABLE_XDS_API_GENERATOR_AUTH`の既定値を変更
  - `ENABLE_XDS_API_GENERATOR_AUTH`を設定していない場合に該当します。
  - `ENABLE_XDS_API_GENERATOR_AUTH`の既定値を`true`に変更しました。互換性のために無効化する場合は、`ENABLE_XDS_API_GENERATOR_AUTH=false`を設定します。
- **[security]** サイドカーおよびゲートウェイ注入テンプレートの出力エスケープを修正
  - `proxyImage`、`bootstrapOverride`、`logLevel`、`componentLogLevel`、`agentLogLevel`のいずれかを設定している場合に該当します。
  - `proxyImage`、`bootstrapOverride`、`logLevel`、`componentLogLevel`、`agentLogLevel`の各`sidecar.istio.io/*`アノテーションが、出力エスケープなしでサイドカーおよびゲートウェイの注入テンプレートに展開される問題を修正しました。

## その他の記録された変更
- 13 (defect_corrected 11, value_changed 2)

[分析の詳細](https://ratatosk.io/ja/releases/istio/1.29.7)

[元のリリースノート](https://github.com/istio/istio/releases/tag/1.29.7)