Анонс Istio 1.28.2

Патч-реліз Istio 1.28.2.

Dec 22, 2025

Цей реліз містить виправлення помилок для покращення надійності. Ця примітка до релізу описує, що змінилося між Istio 1.28.1 та 1.28.2.

ПЕРШ НІЖ ОНОВИТИСЬ

Що потрібно знати та підготувати перед оновленням.

ЗАВАНТАЖИТИ

Завантажити та встановити цей випуск.

ДОКУМЕНТАЦІЯ

Відвідайте документацію до цього випуску.

ЗМІНИ СИРЦІВ

Ознайомтеся з повним набором змін у вихідному коді.

Оновлення безпеки

CVE-2025-62408 (CVSS score 5.3, Помірно): Використання після звільнення може призвести до аварійного завершення Envoy через неправильне функціонування або скомпрометований DNS. Це вразливість типу heap use-after-free у бібліотеці c-ares, яку може використати зловмисник, контролюючи локальну DNS-інфраструктуру, щоб спричинити відмову в обслуговуванні (DoS) у Envoy.

Зміни

Виправлено рідкісну гонитву при видаленні ServiceEntry, що поділяє hostname з іншим ServiceEntry у тому ж namespace, що іноді призводить до того, що ambient клієнти втрачають здатність надсилати трафік до цього hostname до перезавантаження istiod.
Виправлено випадки, коли під час оновлення бекенду з iptables на nftables у середовищі ambient у мережі створювалися застарілі правила iptables. Тепер код продовжує використовувати iptables на вузлі до його перезавантаження. (Тікет #58353)
Виправлено DNS name table creation для headless services, де записи pods не враховували, що pods можуть мати кілька IPs.
Виправлено: анотацію sidecar.istio.io/statsEvictionInterval із значеннями 60 секунд або більше, що призводила до збою запуску сайдкара istio-proxy. (Тікет #58500)
Виправлено проблему, при якій Envoy proxies, що підключаються до waypoint proxies, у рідкісних випадках отримували надмірні XDS оновлення або пропускали деякі оновлення повністю.