# Istio 1.30.4

> Networking & Messaging · 2026-08-27

EnvoyとIstioに関するセキュリティ修正を中心とした保守リリースです。信頼性や正確性の修正に加え、利用しているプロトコルや設定によっては運用上の確認が必要な挙動変更も含まれます。

## 要対応
- **[security]** パラメーター付きパスセグメントのURL正規化を修正
  - `CVE-2026-73551`において、パラメーター付きのドットおよびドットドットのパスセグメントに対するURL正規化を修正しました。
- **[security]** セグメント単位のパラメーターを含むパスのマッチングを修正
  - `CVE-2026-73511`において、セグメント単位のパラメーターを含むパスのマッチングを修正しました。

## 影響確認
- **[security]** HTTP/2トレーラー処理の解放後使用を修正
  - HTTP/2を使用している場合に適用されます。
  - `CVE-2026-73513`において、HTTP/2トレーラーを`END_STREAM`フラグなしで受信した際に`oghttp2`で発生するヒープ領域の解放後使用を修正しました。
- **[security]** `safe_regex`のヘッダー検査を修正
  - `safe_regex`を設定している場合に適用されます。
  - `CVE-2026-73552`において、負のマッチ条件を持つRBACポリシーで、ヘッダーにUTF-8ではないバイト列が含まれると`safe_regex`が検査をすり抜ける問題を修正しました。
- **[security]** QUIC HTTPデータグラム処理の解放後使用を修正
  - QUICのHTTPデータグラムハンドラーを使用している場合に適用されます。
  - `CVE-2026-73512`において、QUICのHTTPデータグラムハンドラーで発生する解放後使用を修正しました。
- **[security]** `ext_authz`のCONNECTリクエスト処理を修正
  - `ext_authz`を使用している場合に適用されます。
  - `CVE-2026-73547`において、`:path`ヘッダーのないCONNECTリクエストを`ext_authz`が処理した際の異常終了を修正しました。
- **[security]** HTTP/3のIPv6クライアントアドレス処理を修正
  - HTTP/3を使用している場合に適用されます。
  - `CVE-2026-73549`において、HTTP/3でスコープ付きIPv6クライアントアドレスを処理した際の異常終了を修正しました。
- **[security]** `ext_authz` raw HTTPクライアントの解放後使用を修正
  - `ext_authz`を使用している場合に適用されます。
  - `CVE-2026-50572`において、`ext_authz`のraw HTTPクライアントで発生する解放後使用を修正しました。
- **[security]** HTML統計インターフェースのXSSを修正
  - HTML統計インターフェースを公開している場合に適用されます。
  - `CVE-2026-73546`において、HTML統計インターフェースに保存されるクロスサイトスクリプティングの脆弱性を修正しました。
- **[security]** HTTP/3接続プール選択時のヌルポインタ参照を修正
  - HTTP/3を使用している場合に適用されます。
  - `CVE-2026-48521`において、ALPNに基づくHTTP/3接続プール選択中に発生するヌルポインタ参照を修正しました。
- **[security]** 汎用HTTPアップグレードのレスポンス汚染を修正
  - 汎用HTTPアップグレードを使用している場合に適用されます。
  - `CVE-2026-73548`において、汎用HTTPアップグレードで発生するユーザー間のレスポンス汚染を修正しました。
- **[security]** 重複HostヘッダーによるHTTP/2のメモリ枯渇を修正
  - HTTP/2を使用している場合に適用されます。
  - `CVE-2026-73550`において、破棄された重複Hostヘッダーを利用したHTTP/2のメモリ枯渇を修正しました。
- **[security]** パスパラメーター無視設定によるRBACバイパスを修正
  - `ignore_path_parameters_in_path_matching`を設定している場合に適用されます。
  - `CVE-2026-73553`において、`ignore_path_parameters_in_path_matching`を利用したRBACのバイパスを修正しました。
- **[security]** `BackendTLSPolicy`の平文フォールバックを修正
  - 適用対象はリリースノートに明記されていません。
  - `GHSA-qm8v-g4f9-qhjx`において、CA参照を解決できない場合に、サイドカープロキシ上の`BackendTLSPolicy`が平文通信へフォールバックする問題を修正しました。
- **[security]** XDS APIジェネレーターの認証を既定で有効化
  - XDS APIジェネレーター（MCP設定提供）を実行している場合に適用されます。
  - XDS APIジェネレーター（MCP設定提供）が、検証済みのコントロールプレーンIDを要求するようになりました。従来はIstiodのXDSポートへ到達できるクライアントが全名前空間のIstio設定を読み取れました。既定値は`ENABLE_XDS_API_GENERATOR_AUTH=true`で、互換性のために無効化する場合は`ENABLE_XDS_API_GENERATOR_AUTH=false`を指定します。
- **[security]** Gateway APIの名前空間間参照の認可順序を修正
  - 適用対象はリリースノートに明記されていません。
  - Gateway APIで、名前空間をまたぐTLS証明書の`certificateRef`または`caCertificateRef`が、`ReferenceGrant`の認可確認より先に解決される問題を修正しました。認可を先に行い、許可されていない名前空間間参照には`RefNotPermitted`を返します。これにより、参照先のSecretまたはConfigMapが存在するかどうかが、許可のない参照から`ResolvedRefs`ステータスに現れなくなります。
- **[security]** `jwksUri`取得時のSSRF対策を強化
  - `jwksUri`を設定している場合に適用されます。
  - RequestAuthenticationの`jwksUri`取得にあったSSRFの隙間を修正しました。Istiodは既定で、リンクローカルアドレスと既知のクラウドメタデータアドレス（`169.254.169.254`など）への接続をダイヤル時に遮断し、取得した応答が有効なJWKSでない場合も拒否します。プライベートアドレスとループバックアドレスへの接続は引き続き可能で、`BLOCKED_CIDRS_IN_JWKS_URIS`で遮断できます。
- **[security]** サイドカー注入アノテーションの出力エスケープを修正
  - `sidecar.istio.io/*`の`proxyImage`、`bootstrapOverride`、`logLevel`、`componentLogLevel`、`agentLogLevel`のいずれかを設定している場合に適用されます。
  - `sidecar.istio.io/*`の`proxyImage`、`bootstrapOverride`、`logLevel`、`componentLogLevel`、`agentLogLevel`アノテーションが、出力エスケープなしでサイドカーまたはゲートウェイの注入テンプレートへ展開される問題を修正しました。各アノテーションは、テンプレートのすべての出力先で一貫してエスケープされます。

## その他の記録された変更
- 15 (defect_corrected 14, constraint_changed 1)

[分析の詳細](https://ratatosk.io/ja/releases/istio/1.30.4)

[元のリリースノート](https://github.com/istio/istio/releases/tag/1.30.4)