# Istio 1.30.8

> Networking & Messaging · 2026-11-06

セキュリティ修正を中心としたメンテナンスリリースです。追加の正確性修正も含まれていますが、オペレーターに新たな移行や設定変更を求める案内はありません。

## 影響確認
- **[security]** アンビエントモードのポート単位 mTLS ポリシー判定を修正
  - メッシュ全体の `STRICT` ポリシー、ポート単位の `STRICT` `PeerAuthentication`、および `PERMISSIVE` または `DISABLE` モードのワークロードを組み合わせてアンビエントモードを利用している場合に該当します。
  - アンビエントモードで、メッシュ全体の `STRICT` ポリシー下にあるワークロードが `PERMISSIVE` または `DISABLE` で動作すると、ポート単位の `STRICT` `PeerAuthentication` が演算子の優先順位の誤りで無視されることがありました。これにより、mTLS が必要なポートへ平文トラフィックが到達していました。この判定が修正されました。
- **[security]** `AuthorizationPolicy` のホストヘッダー照合を修正
  - `request.headers[:authority]` または `request.headers[host]` を条件にした `AuthorizationPolicy` を利用している場合に該当します。
  - `request.headers[:authority]` または `request.headers[host]` を条件にした `AuthorizationPolicy` の照合が大文字と小文字を区別していたため、ホスト名の大文字小文字が異なるリクエストでポリシーを回避できることがありました。ホスト名を正しく照合するよう修正されました。
- **[security]** 古い conntrack エントリによるサイドカー迂回を修正
  - 新しい受信接続が、切断済み接続の4タプルを再利用する場合に該当します。
  - 切断済み接続と同じ4タプルを再利用した新しい受信接続が、古い conntrack の `ESTABLISHED` エントリに一致し、サイドカーのプロキシを迂回できることがありました。この接続処理が修正されました。
- **[security]** 不正なリソース名による `istiod` のクラッシュを修正
  - メッシュ ID を持つワークロードが `istio.io/debug` xDS リクエストを送信する場合に該当します。
  - メッシュ ID を持つワークロードが、URL として解析できないリソース名を含む `istio.io/debug` xDS リクエストを送ると、`istiod` がクラッシュし、メッシュ全体のコントロールプレーンが再起動ループに入ることがありました。このリクエスト処理が修正されました。
- **[security]** 空の `AuthorizationPolicy` エントリによる `istiod` のクラッシュを修正
  - 空の `to` または `from` エントリを含む `AuthorizationPolicy` とともにアンビエントモードを利用している場合に該当します。
  - アンビエントモードで空の `to` または `from` エントリを含む `AuthorizationPolicy` が検証用 webhook に拒否されない場合、`istiod` がクラッシュし、ポリシーを削除するまで再起動ループに入ることがありました。その間、メッシュ全体への設定配布が停止していました。このポリシー処理が修正されました。
- **[security]** マルチクラスタ環境での `CLUSTER_ID` 取り違えを修正
  - マルチクラスタ構成を利用している場合に該当します。
  - マルチクラスタ構成で、プロキシが別クラスタの `CLUSTER_ID` を名乗り、そのクラスタの `kubernetes://` シークレットを SDS 経由で受け取れることがありました。このクラスタ識別情報の扱いが修正されました。
- **[security]** 不正な `traceparent` による `ztunnel` のパニックを修正
  - `ztunnel` が、ハイフン区切りの4フィールドを持たない55バイトの `traceparent` ヘッダーを解析する場合に該当します。
  - `ztunnel` が、ハイフンで区切られた4つのフィールドを持たない55バイトの `traceparent` ヘッダーを解析するとパニックし、受信 HBONE 接続のタスクが終了していました。その接続で多重化されていたすべてのストリームが切断される問題も修正されました。

## その他の記録された変更
- 15 (defect_corrected 15)

[分析の詳細](https://ratatosk.io/ja/releases/istio/1.30.8)

[元のリリースノート](https://github.com/istio/istio/releases/tag/1.30.8)