# Istio 1.30.6

> Networking & Messaging · 2026-10-15

セキュリティ修正を中心としたメンテナンスリリースで、複数の脆弱性と安全性に関わる挙動を修正しています。正確性と信頼性に関わる修正も含まれています。

## 要対応
- **[security]** `istiod`デバッグエンドポイントの`proxyID`照合を修正
  - `istiod`のデバッグエンドポイント（`/debug/config_dump`、`/debug/edsz`、XDSの`istio.io/debug/config_dump`型）が`proxyID`を部分文字列で照合していた問題を修正しました。これにより、同じnamespace内の別プロキシの設定を部分的なIDで読み出せる状態が解消されました。

## 影響確認
- **[security]** `OAuth2 HTTP filter`のCONNECTリクエスト処理を修正
  - `OAuth2 HTTP filter`を使用している場合に適用されます。
  - `OAuth2 HTTP filter`で、`:path`ヘッダーのないCONNECTリクエストを受けた際に認証なしでリモートクラッシュが発生する問題を修正しました。`GHSA-8vc2-jrm4-835w`に対応しています。
- **[security]** `api_key_auth` HTTPフィルターのクラッシュを修正
  - `api_key_auth` HTTPフィルターを使用している場合に適用されます。
  - `api_key_auth` HTTPフィルターで、`:path`ヘッダーのないCONNECTリクエストを受けた際にクラッシュする問題を修正しました。`GHSA-47vj-9r25-wv5j`に対応しています。
- **[security]** HTTP/2における`AuthorizationPolicy`メソッドルールの回避を修正
  - `AuthorizationPolicy`を設定し、HTTP/2を使用している場合に適用されます。
  - HTTP/2でメソッドの大文字と小文字を変更すると、`AuthorizationPolicy`のメソッドルールを回避できる問題を修正しました。`GHSA-w44g-8m76-8gc5`に対応しています。
- **[security]** ambientモードでの`istiod`クラッシュを修正
  - ambientモードで実行し、`ServiceEntry`を設定している場合に適用されます。
  - IPアドレスを指定したwaypointのアドレスを`ServiceEntry`などのサービスが要求したとき、ambientモードの`istiod`がクラッシュする問題を修正しました。`GHSA-7p2q-4xvg-vxc6`に対応しています。
- **[security]** `istioctl manifest translate`のシェルスクリプト値処理を修正
  - `istioctl manifest translate`を使用し、生成されたインストール用シェルスクリプトを実行している場合に適用されます。
  - `istioctl manifest translate`が、`IstioOperator`の入力値（namespaceやリリース名など）を引用符なしで生成されたインストール用シェルスクリプトへ書き込む問題を修正しました。細工した値によって、スクリプト実行時に追加のシェルコマンドが注入される可能性がありました。
- **[security]** `CreateCertificate`のKubernetes APIエラー情報を修正
  - `EXTERNAL_CA=ISTIOD_RA_KUBERNETES_API`を設定している場合に適用されます。
  - 実験的なKubernetes CSR RAパスで、`CreateCertificate`がKubernetes APIの生のエラー本文を呼び出し元へ返し、CSR名、署名者名、`istiod`の識別情報が漏れる問題を修正しました。
- **[security]** Wasm OCIイメージ取得時の平文HTTPフォールバックを修正
  - Wasm OCIイメージフェッチャーを使用している場合に適用されます。
  - Wasm OCIイメージフェッチャーが、レジストリから返されたエラーを理由に、失敗したHTTPS取得を平文HTTPで再試行する問題を修正しました。任意のWasmバイナリが提供される可能性のあるフォールバックは発生しなくなります。
- **[breaking]** Kubernetes CSR RAの証明書TTL上限を追加
  - `EXTERNAL_CA=ISTIOD_RA_KUBERNETES_API`を設定している場合に適用されます。
  - 実験的なKubernetes CSR RAパスで、クライアントが要求した`ValidityDuration`がデフォルト90日の`MAX_WORKLOAD_CERT_TTL`まで受け入れられていた制限を見直しました。新しい`MAX_RA_WORKLOAD_CERT_TTL`が追加され、デフォルト値の48時間を上限としてTTLを制限します。48時間を超えるTTLを正当に要求するデプロイメントでは、アップグレード後に`MAX_RA_WORKLOAD_CERT_TTL`の引き上げが必要になります。

## その他の記録された変更
- 16 (defect_corrected 12, added 3, default_changed 1)

[分析の詳細](https://ratatosk.io/ja/releases/istio/1.30.6)

[元のリリースノート](https://github.com/istio/istio/releases/tag/1.30.6)