发布 Istio 1.31.3

此版本包含安全修复。本发行说明描述了 Istio 1.31.2 和 Istio 1.31.3 之间的区别。

安全更新

有关更多信息，请参阅 ISTIO-SECURITY-2026-008。

• 移除 移除了对私钥已泄露的 eMudhra 中间 CA 证书的信任。 基于 ubuntu 的镜像和 distroless 镜像中的 CA 捆绑包不再包含 emSign ECC Root CA - G3。

• CVE-2026-111943： 将 Go 更新至 1.26.10，使 istiod、istioctl 和 pilot-agent 会拒绝包含任何已泄露 eMudhra 中间证书私钥的证书链。

• 更新 将 ztunnel 中的 rustls-webpki 更新至 0.103.16， 该版本会拒绝包含任何已泄露 eMudhra 中间证书私钥的证书链。

变更

• 修复 修复了 Ambient 节点去污点（node-untaint）控制器在仅 istio-cni 就绪时 就移除 cni.istio.io/not-ready 污点的问题。现在该控制器还可以等待节点上的 ztunnel 就绪， 从而避免将 Pod 调度到 ztunnel 仍处于卡死状态的节点上。 此功能在该发布分支上默认关闭，可通过设置 PILOT_NODE_UNTAINT_CHECK_ZTUNNEL=true 启用。 仅在启用 Ambient 模式时适用。 (Issue #52073)

• 修复 修复了当 istio-ca-secret 中的自签名 CA 证书已过期时 istiod 无法启动的问题。 当 Deployment 缩容到零的时间超过证书 TTL 时，就可能出现这种情况。 现在会使用现有私钥自动续期已过期的证书。

• 修复 修复了 istioctl bug-report --duration 在未与 --end-time 一起使用时不会过滤日志的问题。

• 修复 修复了启用 PILOT_AUTO_SEND_UNHEALTHY_ENDPOINTS 或 PILOT_SEND_UNHEALTHY_ENDPOINTS 时不健康端点的传播问题。由 ServiceEntry 资源选中的未就绪 Pod， 以及由 Kubernetes Service 或 ServiceEntry 资源选中、经过健康检查且不健康的 WorkloadEntry 资源， 现在会连同其健康状态一起保留，而不再被省略。 在启用 PILOT_AUTO_SEND_UNHEALTHY_ENDPOINTS（默认启用）时， 这些端点现在可能会以不健康状态出现在端点发现响应中。