# Istio 1.31.4

> Networking & Messaging · 2026-11-06

セキュリティ修正を中心としたメンテナンスリリースです。運用上の不具合修正や性能改善に加え、ambient east-west gateway向けの新しい機能が含まれます。

## 影響確認
- **[security]** ambient modeのポート単位`STRICT`ポリシー適用を修正
  - mesh-wideの`STRICT`ポリシーと、ワークロードモード`PERMISSIVE`または`DISABLE`を使うambient mode環境に該当する場合です。
  - ambient modeで、mesh-wideの`STRICT`ポリシーとワークロードモード`PERMISSIVE`または`DISABLE`を組み合わせた場合、ポート単位で設定した`STRICT`の`PeerAuthentication`が適用されず、mTLSが必要なポートに平文トラフィックが到達することがありました。この判定不具合を修正しました。
- **[security]** ホストヘッダー条件の大文字小文字を区別しない判定
  - `request.headers[:authority]`または`request.headers[host]`を条件にした`AuthorizationPolicy`を使っている場合です。
  - `request.headers[:authority]`または`request.headers[host]`を条件にした`AuthorizationPolicy`がホスト名の大文字と小文字を区別して判定していたため、表記の異なるホスト名のリクエストでポリシーを回避できることがありました。これらの条件をホスト名と同じく大文字と小文字を区別せずに判定するよう修正しました。
- **[security]** 古いconntrackエントリによる`sidecar proxy`回避を修正
  - `sidecar proxy`が、切断済み接続と同じ4タプルを再利用する新しい受信接続を受ける場合です。
  - 切断済み接続と同じ4タプルを再利用する新しい受信接続が、古いconntrackの`ESTABLISHED`エントリに一致して`sidecar proxy`を経由しないことがありました。この接続判定の不具合を修正しました。
- **[security]** 不正なリソース名による`istiod`のクラッシュを修正
  - mesh identityを持つワークロードが、URL解析に失敗するリソース名を含む`istio.io/debug` xDSリクエストを送る場合です。
  - mesh identityを持つワークロードが、URL解析に失敗するリソース名を含む`istio.io/debug` xDSリクエストを送ると、`istiod`がクラッシュし、メッシュ全体のコントロールプレーンがクラッシュループに陥ることがありました。この問題を修正しました。
- **[security]** 空の`to`または`from`を含む`AuthorizationPolicy`によるクラッシュを修正
  - 空の`to`または`from`エントリを含む`AuthorizationPolicy`をambient modeで使っている場合です。
  - ambient modeで、空の`to`または`from`エントリを持つ`AuthorizationPolicy`がバリデーションWebhookに拒否されない場合、`istiod`がクラッシュループに入り、ポリシーを削除するまでメッシュ全体への設定配布が停止することがありました。この問題を修正しました。
- **[security]** マルチクラスタ環境での`CLUSTER_ID`なりすましを修正
  - マルチクラスタ構成を使っている場合です。
  - マルチクラスタ構成で、プロキシが別クラスタの`CLUSTER_ID`を名乗り、そのクラスタの`kubernetes://`シークレットをSDS経由で受け取れることがありました。このクラスタ識別の問題を修正しました。
- **[security]** 不正な`traceparent`による`ztunnel`のパニックを修正
  - 受信HBONE接続で、4つのハイフン区切りフィールドを持たない55バイトの`traceparent`ヘッダーを`ztunnel`が受け取る場合です。
  - `ztunnel`が、4つのハイフン区切りフィールドを含まない55バイトの`traceparent`ヘッダーを解析するとパニックを起こし、受信HBONE接続のタスクを終了させて、その接続で多重化されたすべてのストリームを切断することがありました。この解析処理を修正しました。

## その他の記録された変更
- 17 (defect_corrected 16, added 1)

[分析の詳細](https://ratatosk.io/ja/releases/istio/1.31.4)

[元のリリースノート](https://github.com/istio/istio/releases/tag/1.31.4)