# Istio 1.31.2

> Networking & Messaging · 2026-10-16

脆弱性修正を中心としたメンテナンスリリースで、複数の不具合修正に加えて接続やルーティングの制御が加わっています。オペレーターから見えるデフォルト値や制約にも変更があります。

## 要対応
- **[security]** `MAX_RA_WORKLOAD_CERT_TTL`によるワークロード証明書TTLの上限制御
  - `MAX_RA_WORKLOAD_CERT_TTL`環境変数を追加し、デフォルト値を48時間としてTTLの上限を設定しました。これにより、盗まれたistio-tokenの影響範囲を制限します。
- **[security]** `istiod`デバッグエンドポイントの`proxyID`一致処理を修正
  - `istiod`のデバッグエンドポイント`/debug/config_dump`、`/debug/edsz`、およびXDSの`istio.io/debug/config_dump`型が、`proxyID`の部分一致で対象を選んでいた問題を修正しました。
- **[breaking]** クライアント側のリクエストタイムアウト
  - リクエストはクライアント側でタイムアウトするようになり、停止したリクエストをキャンセルしてコンポーネントが自動的に復旧するようになりました。

## 影響確認
- **[security]** `OAuth2 HTTP filter`のCONNECTリクエスト処理を修正
  - `OAuth2 HTTP filter`を使用している場合に適用されます。
  - `OAuth2 HTTP filter`で、`:path`ヘッダーのないCONNECTリクエストによって認証なしのリモートクラッシュが発生する問題を修正しました。
- **[security]** `api_key_auth HTTP filter`のクラッシュを修正
  - `api_key_auth HTTP filter`を使用している場合に適用されます。
  - `:path`ヘッダーのないCONNECTリクエストで`api_key_auth HTTP filter`がクラッシュする問題を修正しました。
- **[security]** HTTP/2における`AuthorizationPolicy`メソッドルールの回避を修正
  - 適用対象はリリースノートに明記されていません。
  - HTTP/2でメソッドの大文字と小文字を変えると`AuthorizationPolicy`のメソッドルールを回避できる問題を修正しました。
- **[security]** ambientモードの`istiod`クラッシュを修正
  - 適用対象はリリースノートに明記されていません。
  - IPアドレス指定のwaypointと同じアドレスを`ServiceEntry`などのサービスが要求したとき、ambientモードの`istiod`がクラッシュする問題を修正しました。
- **[security]** `istioctl`の`istiod`証明書検証を修正
  - 適用対象はリリースノートに明記されていません。
  - サービスアカウントトークンでXDSへ接続する際、`istioctl`が`istiod`の証明書検証を省略していた問題を修正しました。
- **[security]** `CreateCertificate`のKubernetes APIエラー処理を修正
  - `EXTERNAL_CA=ISTIOD_RA_KUBERNETES_API`を設定している場合に適用されます。
  - 実験的なKubernetes CSR RAパスで、`CreateCertificate`がKubernetes APIの生のエラー本文を呼び出し元へ返していた問題を修正しました。
- **[security]** `WASM_INSECURE_REGISTRIES`で許可したレジストリへの平文再試行
  - `WASM_INSECURE_REGISTRIES`を設定している場合に適用されます。
  - 平文での再試行は、オペレーターが`WASM_INSECURE_REGISTRIES`で明示的に許可したレジストリに限って実行されるようになりました。

## 事前準備
- **[deprecated]** `overload.global_downstream_max_connections`の非推奨化
  - `overload.global_downstream_max_connections`を設定している場合に適用されます。
  - 非推奨のランタイムフラグ`overload.global_downstream_max_connections`を整理しました。

## その他の記録された変更
- 17 (defect_corrected 12, added 4, value_changed 1)

[分析の詳細](https://ratatosk.io/ja/releases/istio/1.31.2)

[元のリリースノート](https://github.com/istio/istio/releases/tag/1.31.2)