# Istio 1.30.6

> Networking & Messaging · 2026-10-15

보안 중심 유지보수 릴리스로 여러 취약점을 수정하고 일부 경로의 보안 동작을 더 엄격하게 다듬었습니다. 정확성과 안정성 문제도 함께 바로잡았습니다.

## 조치 필요
- **[security]** `istiod` 디버그 엔드포인트의 프록시 ID 비교 수정
  - `istiod` 디버그 엔드포인트가 `proxyID`를 전체 값이 아닌 부분 문자열로 비교하던 문제를 수정했습니다. `/debug/config_dump`, `/debug/edsz`, `XDS istio.io/debug/config_dump` 유형에서 부분 ID를 전달해 같은 네임스페이스의 다른 프록시 설정을 읽을 수 있던 경로가 차단됩니다.

## 영향 확인
- **[security]** `OAuth2` HTTP 필터의 `CONNECT` 요청 충돌 수정
  - `OAuth2` HTTP 필터를 사용하는 경우에 적용됩니다.
  - `OAuth2` HTTP 필터가 `:path` 헤더 없이 들어온 `CONNECT` 요청에서 인증되지 않은 원격 충돌을 일으키던 문제를 수정했습니다. `GHSA-8vc2-jrm4-835w`가 해결되었습니다.
- **[security]** `api_key_auth` HTTP 필터의 요청 충돌 수정
  - `api_key_auth` HTTP 필터를 사용하는 경우에 적용됩니다.
  - `:path` 헤더가 없는 `CONNECT` 요청에서 `api_key_auth` HTTP 필터가 충돌하던 문제를 수정했습니다. `GHSA-47vj-9r25-wv5j`가 해결되었습니다.
- **[security]** HTTP/2 `AuthorizationPolicy` 메서드 규칙 우회 수정
  - `AuthorizationPolicy`를 설정하고 HTTP/2를 사용하는 경우에 적용됩니다.
  - HTTP/2에서 메서드의 대소문자를 바꾸면 `AuthorizationPolicy`의 메서드 규칙을 우회할 수 있던 문제를 수정했습니다. `GHSA-w44g-8m76-8gc5`가 해결되었습니다.
- **[security]** ambient 모드의 `istiod` 충돌 수정
  - ambient 모드에서 실행하며 `ServiceEntry`를 설정하는 경우에 적용됩니다.
  - ambient 모드에서 `ServiceEntry`나 다른 서비스가 IP 주소를 사용하는 waypoint의 주소를 차지하면 `istiod`가 충돌하던 문제를 수정했습니다. `GHSA-7p2q-4xvg-vxc6`가 해결되었습니다.
- **[security]** `istioctl manifest translate`의 셸 값 처리 수정
  - `istioctl manifest translate`를 사용하고 생성된 설치 셸 스크립트를 실행하는 경우에 적용됩니다.
  - `istioctl manifest translate`가 `IstioOperator` 입력의 네임스페이스와 릴리스 이름 같은 값을 인용 부호 없이 설치 셸 스크립트에 기록하던 문제를 수정했습니다. 조작된 값으로 스크립트 실행 시 추가 셸 명령을 삽입할 수 있던 경로가 차단됩니다.
- **[security]** Kubernetes CSR RA 오류 정보 노출 수정
  - `EXTERNAL_CA=ISTIOD_RA_KUBERNETES_API`를 설정하는 경우에 적용됩니다.
  - 실험적 Kubernetes CSR RA 경로에서 `CreateCertificate`가 Kubernetes API의 원시 오류 내용을 호출자에게 반환하던 문제를 수정했습니다. `EXTERNAL_CA=ISTIOD_RA_KUBERNETES_API` 설정에서 CSR 이름, 서명자 이름, `istiod`의 식별 정보가 노출되던 동작이 사라집니다.
- **[security]** Wasm OCI 이미지의 평문 전송 대체 차단
  - Wasm OCI 이미지 가져오기를 사용하는 경우에 적용됩니다.
  - Wasm OCI 이미지 가져오기가 레지스트리의 오류에 따라 실패한 HTTPS 요청을 평문 HTTP로 재시도하던 문제를 수정했습니다. 신뢰할 수 없는 레지스트리가 이 대체 경로를 유도해 평문 전송을 강제하고, 모듈 다이제스트를 고정하지 않은 경우 임의의 Wasm 바이너리를 제공할 수 있던 동작이 제거됩니다.
- **[breaking]** Kubernetes CSR RA 인증서 TTL 제한 변경
  - `EXTERNAL_CA=ISTIOD_RA_KUBERNETES_API`를 설정하는 경우에 적용됩니다.
  - 실험적 Kubernetes CSR RA 경로에서 클라이언트가 요청한 `ValidityDuration`이 기본 `MAX_WORKLOAD_CERT_TTL` 값인 90일까지 허용되던 제한을 조정했습니다. 새 환경 변수 `MAX_RA_WORKLOAD_CERT_TTL`이 기본 48시간으로 TTL을 제한해 도난된 `istio-token`의 영향 범위를 줄입니다. 이 경로에서 48시간을 초과하는 인증서를 정상적으로 요청하던 배포 환경은 업그레이드 후 `MAX_RA_WORKLOAD_CERT_TTL` 값을 높이는 설정이 필요합니다.

## 그 밖에 기록된 변경
- 16 (defect_corrected 12, added 3, default_changed 1)

[분석 자세히 보기](https://ratatosk.io/ko/releases/istio/1.30.6)

[원본 릴리스 노트](https://github.com/istio/istio/releases/tag/1.30.6)