# Istio 1.29.9

> Networking & Messaging · 2026-10-15

보안 수정과 인증서 및 전송 관련 보호 조정, 정확성과 안정성을 높이는 수정이 포함된 유지보수 릴리스입니다. 새로 적용된 제한이나 시간 초과가 기존 배포에 영향을 줄 수 있는 환경에서는 업그레이드가 권장됩니다.

## 조치 필요
- **[security]** 보안 수정 포함
  - 보안 관련 수정이 포함되었습니다.
- **[security]** 워크로드 인증서 TTL 상한 추가
  - 새 환경 변수 `MAX_RA_WORKLOAD_CERT_TTL`이 워크로드 인증서의 TTL 상한을 정합니다. 기본값은 `48h`이며, 탈취된 `istio-token`으로 인한 피해 범위를 제한합니다.
- **[breaking]** 클라이언트 측 요청 시간 초과 처리
  - 요청이 이제 클라이언트 측에서 시간 초과되므로, 멈춘 요청이 취소되고 구성 요소가 스스로 복구합니다.

## 영향 확인
- **[security]** `OAuth2 HTTP filter` 원격 충돌 수정
  - `OAuth2 HTTP filter`를 사용하는 경우에 해당합니다.
  - `:path` 헤더가 없는 CONNECT 요청으로 `OAuth2 HTTP filter`에서 인증 없이 원격 충돌을 일으킬 수 있던 문제를 수정했습니다. 관련 권고는 `GHSA-8vc2-jrm4-835w`입니다.
- **[security]** `api_key_auth HTTP filter` 충돌 수정
  - `api_key_auth HTTP filter`를 사용하는 경우에 해당합니다.
  - `:path` 헤더가 없는 CONNECT 요청에서 `api_key_auth HTTP filter`가 충돌하던 문제를 수정했습니다. 관련 권고는 `GHSA-47vj-9r25-wv5j`입니다.
- **[security]** `AuthorizationPolicy` 메서드 규칙 우회 수정
  - `AuthorizationPolicy`와 `HTTP/2`를 사용하는 경우에 해당합니다.
  - 대소문자를 바꾼 메서드가 `HTTP/2`로 전달될 때 `AuthorizationPolicy`의 메서드 규칙을 우회하던 문제를 수정했습니다. 관련 권고는 `GHSA-w44g-8m76-8gc5`입니다.
- **[security]** 앰비언트 모드 `istiod` 충돌 수정
  - 적용 대상이 릴리스 노트에 명시되지 않았습니다.
  - IP 주소를 사용하는 웨이포인트의 주소를 `ServiceEntry` 또는 다른 서비스가 함께 주장할 때 앰비언트 모드의 `istiod`가 충돌하던 문제를 수정했습니다. 관련 권고는 `GHSA-7p2q-4xvg-vxc6`입니다.
- **[security]** `istioctl` 인증서 검증 수정
  - `XDS`와 서비스 계정 토큰을 함께 사용하는 `istioctl` 환경에 해당합니다.
  - 서비스 계정 토큰으로 `XDS`에 연결할 때 `istioctl`이 `istiod` 인증서 검증을 건너뛰던 문제를 수정했습니다.
- **[security]** `istioctl manifest translate` 명령 주입 수정
  - `istioctl manifest translate`를 사용하는 경우에 해당합니다.
  - 조작된 값으로 스크립트가 실행될 때 셸 명령을 추가로 주입할 수 있던 문제를 수정했습니다.
- **[security]** `CreateCertificate` 오류 반환 수정
  - `CreateCertificate`를 사용하는 경우에 해당합니다.
  - `CreateCertificate`가 원시 Kubernetes API 오류 문구를 호출자에게 반환하던 문제를 수정했습니다.
- **[security]** WASM 평문 재시도 대상 제한
  - `WASM_INSECURE_REGISTRIES`를 설정하는 경우에 해당합니다.
  - 평문 재시도는 운영자가 `WASM_INSECURE_REGISTRIES`로 명시적으로 허용 목록에 등록한 레지스트리에만 시도됩니다.
- **[security]** 디버그 `proxyID` 일치 기준 수정
  - `/debug/config_dump`, `/debug/edsz` 또는 `XDS istio.io/debug/config_dump`를 사용하는 경우에 해당합니다.
  - `proxyID`는 이제 정확한 `<pod>.<namespace>` 또는 전체 연결 ID여야 합니다. `proxyID=istio-ingressgateway` 같은 짧은 형식은 더 이상 일치하지 않습니다.
- **[breaking]** `1.29` 지원 종료
  - `1.29`를 사용하는 경우에 해당합니다.
  - `1.29`의 마지막 릴리스이며, 2026년 10월 15일에 지원이 종료되었습니다.

## 그 밖에 기록된 변경
- 13 (defect_corrected 10, added 2, value_changed 1)

[분석 자세히 보기](https://ratatosk.io/ko/releases/istio/1.29.9)

[원본 릴리스 노트](https://github.com/istio/istio/releases/tag/1.29.9)