# Istio 1.30.8

> Networking & Messaging · 2026-11-06

공개된 보안 권고에 대응하는 수정과 추가적인 정확성 개선이 포함된 유지보수 릴리스입니다. 운영자가 새로 적용해야 할 마이그레이션이나 설정 요구 사항은 발표되지 않았습니다.

## 영향 확인
- **[security]** 앰비언트 모드의 포트 수준 `PeerAuthentication` 적용 수정
  - 메시 전체에 `STRICT` 정책을 적용하면서 포트 수준의 `STRICT` `PeerAuthentication`을 사용하고, 워크로드 모드가 `PERMISSIVE` 또는 `DISABLE`인 경우에 해당합니다.
  - 연산자 우선순위 오류로 메시 전체에 `STRICT` 정책이 적용된 상태에서 워크로드 모드가 `PERMISSIVE` 또는 `DISABLE`이면 포트 수준의 `STRICT` `PeerAuthentication`이 건너뛰어졌습니다. 그 결과 평문 트래픽이 mTLS를 요구하는 포트에 도달할 수 있던 문제를 수정했습니다. `GHSA-rr2c-p22p-6r9r`에 대응합니다.
- **[security]** 호스트 헤더의 `AuthorizationPolicy` 조건 비교 수정
  - `request.headers[:authority]` 또는 `request.headers[host]`에 `AuthorizationPolicy` 조건을 사용하는 경우에 해당합니다.
  - `request.headers[:authority]` 또는 `request.headers[host]` 조건이 대소문자를 구분해 일치하면서, 호스트 표기가 다른 요청이 `AuthorizationPolicy`를 우회할 수 있던 문제를 수정했습니다. `GHSA-7m6f-j3gp-2r53`에 대응합니다.
- **[security]** 오래된 conntrack 항목을 이용한 사이드카 우회 수정
  - 새 인바운드 연결이 종료된 연결의 4-튜플을 재사용하는 경우에 해당합니다.
  - 종료된 연결과 같은 4-튜플을 재사용한 새 인바운드 연결이 오래된 conntrack `ESTABLISHED` 항목과 일치해 사이드카 프록시를 우회할 수 있던 문제를 수정했습니다. `GHSA-cxwg-46mx-q8hf`에 대응합니다.
- **[security]** 잘못된 리소스 이름의 `istio.io/debug` 요청 처리 수정
  - 메시 ID가 있는 워크로드가 `istio.io/debug` xDS 요청을 보내는 경우에 해당합니다.
  - 리소스 이름이 URL 파싱에 실패하는 `istio.io/debug` xDS 요청으로 워크로드가 `istiod`를 중단시키고 전체 메시의 컨트롤 플레인을 반복 충돌 상태로 만들 수 있던 문제를 수정했습니다. `GHSA-635j-qv98-9275`에 대응합니다.
- **[security]** 비어 있는 `AuthorizationPolicy` 항목의 검증 및 충돌 수정
  - 앰비언트 모드에서 비어 있는 `to` 또는 `from` 항목이 포함된 `AuthorizationPolicy`를 사용하는 경우에 해당합니다.
  - 앰비언트 모드에서 비어 있는 `to` 또는 `from` 항목을 포함한 `AuthorizationPolicy`를 검증 웹훅이 거부하지 않아 `istiod`가 충돌을 반복하고, 해당 정책을 삭제할 때까지 전체 메시의 설정 배포가 중단될 수 있던 문제를 수정했습니다. `GHSA-8jw7-82jp-wr2c`에 대응합니다.
- **[security]** 멀티클러스터 `CLUSTER_ID` 검증 수정
  - 멀티클러스터 설치를 사용하는 경우에 해당합니다.
  - 멀티클러스터 설치에서 프록시가 다른 클러스터의 `CLUSTER_ID`를 주장하고 SDS를 통해 해당 클러스터의 `kubernetes://` 시크릿을 받을 수 있던 문제를 수정했습니다. `GHSA-gf6w-6mxv-5fj4`에 대응합니다.
- **[security]** 잘못된 `traceparent` 헤더의 `ztunnel` 처리 수정
  - `ztunnel`이 네 개의 대시 구분 필드가 없는 55바이트 `traceparent` 헤더를 파싱하는 경우에 해당합니다.
  - 네 개의 대시로 나뉜 필드가 없는 55바이트 `traceparent` 헤더를 파싱할 때 `ztunnel`이 패닉을 일으켜 인바운드 HBONE 연결 작업을 종료하고 해당 연결에 다중화된 모든 스트림을 끊던 문제를 수정했습니다. `GHSA-77vw-rg85-wx5x`에 대응합니다.

## 그 밖에 기록된 변경
- 15 (defect_corrected 15)

[분석 자세히 보기](https://ratatosk.io/ko/releases/istio/1.30.8)

[원본 릴리스 노트](https://github.com/istio/istio/releases/tag/1.30.8)