Анонс Istio 1.28.8

Патч-реліз Istio 1.28.8.

Jun 4, 2026

Цей реліз містить виправлення помилок для підвищення надійності. Ця примітка до релізу описує, що змінилося між Istio 1.28.7 та 1.28.8.

Що потрібно знати та підготувати перед оновленням.

Завантажити та встановити цей випуск.

Відвідайте документацію до цього випуску.

Ознайомтеся з повним набором змін у вихідному коді.

Оновлення безпеки

CVE-2026-47774 (CVSS score 7.5, Високий): Неавторизований віддалений зловмисник може спричинити відмову в обслуговуванні, виснажуючи пам’ять у процесі Envoy. Байти заголовка cookie не повністю враховуються під час перевірки розміру заголовка запиту, а обмеження блоку заголовків HPACK застосовуються до закодованих байтів без відповідного обмеження загального декодованого розміру заголовка, що дозволяє зловмисникам викликати надмірне споживання пам’яті через спеціально сформовані запити HTTP/2.

Виправлено проблему, при якій HTTPS прослуховувачі, визначені через ListenerSet, не могли постачати TLS-сертифікати, коли батьківський Gateway використовував ручне розгортання. (Тікет #59535)
Виправлено проблему, при якій фільтри HTTPRoute та GRPCRoute з недійсними значеннями заголовків ігнорувалися в конфігурації Envoy замість повідомлення про недійсний стан фільтра. (Тікет #59933)
Виправлено проблему режиму ambient, де один Service з publishNotReadyAddresses: true та розподілом трафіку PreferSameZone або PreferSameNode спричиняв, що ztunnel отримував healthPolicy: AllowAll для кожного іншого Service, що використовує ту саму схему розподілу трафіку, що призводило до маршрутизації до неготових точок доступу у всьому кластері. (Тікет #60422)