# Istio 1.31.2

> Networking & Messaging · 2026-10-16

보안 문제와 동작 오류를 바로잡고 연결 및 라우팅 제어를 확장한 유지 보수 릴리스입니다. 운영자가 확인할 기본값과 제약 조건도 일부 바뀌었습니다.

## 조치 필요
- **[security]** 워크로드 인증서 TTL 상한 추가
  - 새로운 `MAX_RA_WORKLOAD_CERT_TTL` 환경 변수가 추가되었으며 기본값은 `48h`입니다. 이 값이 인증서 TTL 상한을 정해 도난된 `istio-token`의 영향 범위를 제한합니다.
- **[security]** `istiod` 디버그 엔드포인트의 `proxyID` 일치 수정
  - `istiod` 디버그 엔드포인트인 `/debug/config_dump`, `/debug/edsz`와 XDS의 `istio.io/debug/config_dump` 형식이 `proxyID`를 부분 문자열로 잘못 일치시키던 문제가 수정되었습니다.
- **[breaking]** 클라이언트 측 요청 시간 초과 동작 변경
  - 클라이언트 측 요청 시간 초과가 적용되어 멈춘 요청이 취소되고 구성 요소가 스스로 복구합니다. 관련 시간 초과 설정은 `ISTIO_KUBE_HEADER_TIMEOUT`과 `ISTIO_KUBE_REQUEST_TIMEOUT`이며, 만료 횟수는 `kube_client_deadline_fired_total`로 확인할 수 있습니다.

## 영향 확인
- **[security]** `OAuth2 HTTP filter`의 원격 충돌 수정
  - `OAuth2 HTTP filter`를 사용하는 경우에 적용됩니다.
  - `GHSA-8vc2-jrm4-835w`와 관련해, `:path` 헤더가 없는 `CONNECT` 요청에서 `OAuth2 HTTP filter`가 인증되지 않은 원격 충돌을 일으키던 문제가 수정되었습니다.
- **[security]** `api_key_auth HTTP filter`의 충돌 수정
  - `api_key_auth HTTP filter`를 사용하는 경우에 적용됩니다.
  - `GHSA-47vj-9r25-wv5j`와 관련해, `:path` 헤더가 없는 `CONNECT` 요청에서 `api_key_auth HTTP filter`가 충돌하던 문제가 수정되었습니다.
- **[security]** HTTP/2 `AuthorizationPolicy` 메서드 규칙 우회 수정
  - 적용 대상이 릴리스 노트에 명시되지 않았습니다.
  - HTTP/2에서 메서드의 대소문자를 바꾸면 `AuthorizationPolicy`의 메서드 규칙을 우회할 수 있던 문제가 수정되었습니다. 관련 보안 권고는 `GHSA-w44g-8m76-8gc5`입니다.
- **[security]** ambient 모드 `istiod` 충돌 수정
  - 적용 대상이 릴리스 노트에 명시되지 않았습니다.
  - IP 주소를 사용하는 웨이포인트의 주소를 `ServiceEntry`나 다른 서비스가 차지하면 ambient 모드의 `istiod`가 충돌하던 문제가 수정되었습니다. 관련 보안 권고는 `GHSA-7p2q-4xvg-vxc6`입니다.
- **[security]** `istioctl`의 `istiod` 인증서 검증 수정
  - 적용 대상이 릴리스 노트에 명시되지 않았습니다.
  - 서비스 계정 토큰으로 XDS에 연결할 때 `istioctl`이 `istiod` 인증서 검증을 건너뛰던 문제가 수정되었습니다.
- **[security]** `CreateCertificate`의 Kubernetes API 오류 처리 수정
  - `EXTERNAL_CA=ISTIOD_RA_KUBERNETES_API`를 구성한 경우에 적용됩니다.
  - 실험적 Kubernetes CSR RA 경로에서 `CreateCertificate`가 Kubernetes API의 원시 오류 내용을 호출자에게 그대로 반환하던 문제가 수정되었습니다.
- **[security]** 허용된 레지스트리로 평문 재시도 제한
  - `WASM_INSECURE_REGISTRIES`를 구성한 경우에 적용됩니다.
  - 평문 재시도는 운영자가 `WASM_INSECURE_REGISTRIES`로 명시적으로 허용 목록에 넣은 레지스트리에만 수행됩니다.

## 미리 준비
- **[deprecated]** `overload.global_downstream_max_connections` 사용 중단
  - `overload.global_downstream_max_connections`를 구성한 경우에 적용됩니다.
  - `overload.global_downstream_max_connections` 런타임 플래그가 더 이상 사용되지 않는 설정으로 지정되었습니다.

## 그 밖에 기록된 변경
- 17 (defect_corrected 12, added 4, value_changed 1)

[분석 자세히 보기](https://ratatosk.io/ko/releases/istio/1.31.2)

[원본 릴리스 노트](https://github.com/istio/istio/releases/tag/1.31.2)