# Istio 1.31.1

> Networking & Messaging · 2026-09-21

セキュリティ上の問題と正確性に関する不具合を修正したメンテナンスリリースです。パフォーマンスの改善と Kiali の更新も含まれています。

## 影響確認
- **[security]** `BackendTLSPolicy` の未解決 CA 参照時の平文フォールバック修正
  - `BackendTLSPolicy` を使用している場合に適用されます。
  - CA参照を解決できない場合に、サイドカープロキシの `BackendTLSPolicy` が平文通信へフォールバックする問題を修正しました。
- **[security]** `istioctl analyze` の kubeconfig サニタイズ
  - `istioctl analyze` を使用している場合に適用されます。
  - `istioctl analyze` が istio-system のマルチクラスタシークレットからKubernetesクライアントを作成する際、未サニタイズの kubeconfig を使用していた問題を修正しました。細工したシークレットによる exec 認証プラグインの実行や、その他の安全でない認証フィールドを介したローカルファイルの読み取りを防ぐため、istiod と同じ方法で kubeconfig をサニタイズします。
- **[security]** カナリア waypoint の namespace 分離適用
  - `istio.io/use-waypoint-canary` と `serviceEntryVisibility` を使用している場合に適用されます。
  - `istio.io/use-waypoint-canary` ラベルが `serviceEntryVisibility` の NAMESPACE 分離を回避し、NAMESPACE 可視の ServiceEntry が別の namespace の waypoint を経由してカナリアトラフィックを転送できる問題を修正しました。カナリア用 waypoint にもプライマリと同じ namespace 間アクセス拒否を適用します。
- **[security]** `jwksUri` 取得時の SSRF 対策
  - `jwksUri` を使用している場合に適用されます。
  - istiod の `jwksUri` 取得にあった SSRF の隙間を修正しました。デフォルトでダイヤル時にリンクローカルアドレスと既知のクラウドメタデータアドレスをブロックし、取得した応答が有効な JWKS でない場合も拒否します。プライベートアドレスとループバックアドレスは引き続き到達可能で、`BLOCKED_CIDRS_IN_JWKS_URIS` でブロックできます。
- **[security]** `sidecar.istio.io/*` アノテーションのテンプレート出力エスケープ
  - `sidecar.istio.io/*` アノテーションを使用している場合に適用されます。
  - `sidecar.istio.io/*` の `proxyImage`、`bootstrapOverride`、`logLevel`、`componentLogLevel`、`agentLogLevel` アノテーションが、出力エスケープなしでサイドカーまたはゲートウェイの注入テンプレートへ展開される問題を修正しました。細工したアノテーション値による生成済み Pod または Deployment 仕様へのフィールド注入を防ぐため、すべてのテンプレート出力箇所で一貫してエスケープします。

## その他の記録された変更
- 22 (defect_corrected 20, value_changed 2)

[分析の詳細](https://ratatosk.io/ja/releases/istio/1.31.1)

[元のリリースノート](https://github.com/istio/istio/releases/tag/1.31.1)