# Istio 1.29.9

> Networking & Messaging · 2026-10-15

複数の脆弱性修正に加え、証明書と通信の保護強化、正確性と信頼性に関する修正を含む保守リリースです。新たに適用される上限やタイムアウトが既存のデプロイメントに影響する場合があるため、運用者による更新を要します。

## 要対応
- **[security]** セキュリティ修正
  - セキュリティ修正を含みます。
- **[security]** `MAX_RA_WORKLOAD_CERT_TTL` による証明書 TTL の上限設定
  - 新しい環境変数 `MAX_RA_WORKLOAD_CERT_TTL` を追加しました。既定値は `48h` で、TTL に上限を設け、盗まれた `istio-token` の影響範囲を制限します。
- **[breaking]** クライアントリクエストのタイムアウトと自動復旧
  - クライアント側でリクエストがタイムアウトするようになり、停止したリクエストはキャンセルされ、コンポーネントが自動的に復旧します。

## 影響確認
- **[security]** `OAuth2 HTTP filter` のリモートクラッシュを修正
  - `OAuth2 HTTP filter` を使用している場合に該当します。
  - `:path` ヘッダーのない `CONNECT` リクエストによって、認証なしでリモートからクラッシュさせられる問題を修正しました。`GHSA-8vc2-jrm4-835w` に対応します。
- **[security]** `api_key_auth HTTP filter` のクラッシュを修正
  - `api_key_auth HTTP filter` を使用している場合に該当します。
  - `:path` ヘッダーのない `CONNECT` リクエストでクラッシュする問題を修正しました。`GHSA-47vj-9r25-wv5j` に対応します。
- **[security]** `HTTP/2` における `AuthorizationPolicy` メソッドルールの回避を修正
  - `AuthorizationPolicy` と `HTTP/2` を使用している場合に該当します。
  - HTTP メソッドの大文字・小文字を変更すると `AuthorizationPolicy` のメソッドルールを回避できる問題を修正しました。`GHSA-w44g-8m76-8gc5` に対応します。
- **[security]** ambient モードの `istiod` クラッシュを修正
  - 適用対象はリリースノートに明記されていません。
  - IP アドレス指定のウェイポイントのアドレスを `ServiceEntry` または別のサービスが要求した場合に、ambient モードの `istiod` がクラッシュする問題を修正しました。`GHSA-7p2q-4xvg-vxc6` に対応します。
- **[security]** `istioctl` の `istiod` 証明書検証を修正
  - `istioctl` で `XDS` と `service account token` を使用している場合に該当します。
  - サービスアカウントトークンを使って `XDS` に接続する際、`istiod` 証明書の検証を `istioctl` が省略する問題を修正しました。
- **[security]** `istioctl manifest translate` のシェルコマンド注入を修正
  - `istioctl manifest translate` を使用している場合に該当します。
  - 細工した値により、スクリプトの実行時に追加のシェルコマンドを注入できる問題を修正しました。
- **[security]** `CreateCertificate` のエラー応答を修正
  - `CreateCertificate` を使用している場合に該当します。
  - `CreateCertificate` が呼び出し元へ Kubernetes API の生のエラーテキストを返す問題を修正しました。
- **[security]** `WASM_INSECURE_REGISTRIES` の平文再試行を制限
  - `WASM_INSECURE_REGISTRIES` を設定している場合に該当します。
  - 平文での再試行は、運用者が `WASM_INSECURE_REGISTRIES` で明示的に許可リストへ登録したレジストリに対してのみ行われるようになりました。
- **[security]** デバッグエンドポイントの `proxyID` 一致条件を厳格化
  - `/debug/config_dump`、`/debug/edsz`、または `XDS istio.io/debug/config_dump` を使用している場合に該当します。
  - `proxyID` は完全な `<pod>.<namespace>`、または完全な接続 ID と正確に一致する必要があります。`proxyID=istio-ingressgateway` のような短縮形式は一致しなくなりました。
- **[breaking]** `1.29` の最終リリース
  - `1.29` を使用している場合に該当します。
  - `1.29` は2026年10月15日にサポート終了となったため、今回が最終リリースです。

## その他の記録された変更
- 13 (defect_corrected 10, added 2, value_changed 1)

[分析の詳細](https://ratatosk.io/ja/releases/istio/1.29.9)

[元のリリースノート](https://github.com/istio/istio/releases/tag/1.29.9)