GKE 1.33 變更記錄

本文列出 Google Kubernetes Engine (GKE) 1.33 子版本修補程式版本的異動。

這些變更記錄是特定 GKE 系統元件更新的補充資訊。如要瞭解 GKE 的功能、異動和安全性問題，請參閱下列文件：

1.33.13-gke.1952000

以下各節說明這個修補程式版本與前一個修補程式版本 1.33.13-gke.1915000 相比的異動。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.33.13 版變更記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

customer-logs-exporter

將 customer-logs-exporter 元件從 1.33.1-gke.23 版更新至 1.33.1-gke.24 版。

gcsfusecsi

將 gcsfusecsi 元件從 0.10.75 版更新至 0.10.76 版。

gke-metrics-agent

將 gke-metrics-agent 元件從 2.133.24-gke.0 版更新至 2.133.24-gke.1 版。

  • 安全性修正：
    • 將 gke-metrics-agent 更新至 1.15.7-gke.9，並使用 Go 1.26.8 和 google.golang.org/grpc v1.83.2 編譯。

pdcsi

將 pdcsi 元件從 0.22.90 版更新至 0.22.92 版。

1.33.13-gke.1915000

以下各節說明這個修補程式版本與前一個修補程式版本 1.33.13-gke.1815000 相比的異動。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.33.13 版變更記錄。

Kubernetes 更新

k8s-api

k8s-api 群組已從 1.33.13-gke.300 版更新為 1.33.13-gke.800 版。

  • 錯誤修正：
    • 如果 Container-Optimized OS (COS) node-problem-detector (NPD) 已在執行，則停止該服務，以免執行個體發生衝突。
  • 安全性修正：
    • 修正 StatefulSet 控制器中的混淆代理人安全漏洞，方法是僅從 ControllerRevision 還原 .Spec 欄位，防止未經授權的跨命名空間 Pod 建立作業 (CVE-2026-2270)。
  • 其他：
    • 將 Go 執行階段更新至 1.27.1，並更新 kube-apiserver 和 kube-proxy 的容器基礎映像檔 (包括 go-runner、setcap 和 distroless-iptables)。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

filestorecsi

將 filestorecsi 元件從 0.18.46 版更新至 0.18.47 版。

  • 安全性修正：
  • 其他：
    • 更新邊車容器映像檔：csi-provisioner、csi-resizer、csi-snapshotter 和 csi-node-driver-registrar。

gcp-controller-manager-combined

將 gcp-controller-manager-combined 元件從 33.0.31 版更新至 33.0.32 版。

  • 其他：
    • 更新套件依附元件。

gcsfusecsi

gcsfusecsi 元件從 0.10.74 版更新至 0.10.75 版。

  • 安全性修正：
    • 更新 csi-node-driver-registrar 容器映像檔，解決 CVE-2026-84445。

gpu-device-plugin

gpu-device-plugin 元件已從 1.33.13-gke.2 版更新為 1.33.13-gke.4 版。

netd-combined

將 netd-combined 元件從 13.5.4 版更新至 13.5.5 版。

osimage

將 osimage 元件從 1.33.211 版更新至 1.33.214 版。

  • 功能：
    • 新增裸機 TPU 支援。
    • 將 Linux 核心更新至 6.6.157。
    • 將 Docker 更新至 v27.5.1。
    • 將 Containerd 更新至 v2.0.10。
  • 錯誤修正：
    • 將 app-arch/bzip2 升級至 v1.0.8-r5。
  • 其他：
    • 這是長期支援 (LTS) 更新版本。

pdcsi

將 pdcsi 元件從 0.22.88 版更新至 0.22.90 版。

workloadautoscaler

將 workloadautoscaler 元件從 16.15.0 版更新至 16.16.0 版。

  • 其他：
    • 將 Workload Autoscaler 元件 (admission-controller、recommender 和 updater) 更新至 0.24.0-gke.19 版。

1.33.13-gke.1815000

以下各節說明這個修補程式版本與前一個修補程式版本 1.33.13-gke.1721000 相比的異動。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.33.13 版變更記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

filestorecsi

將 filestorecsi 元件從 0.18.44 版更新至 0.18.46 版。

  • 安全性修正：
  • 其他：
    • 將 Go 執行階段更新至 1.27.1 版，並更新容器基礎映像檔和 sidecar 元件，包括 csi-node-driver-registrar。

gcp-controller-manager-combined

將 gcp-controller-manager-combined 元件從 33.0.30 版更新至 33.0.31 版。

  • 其他：
    • 將 Go 和無發行版 (bash 和靜態) 基本映像檔更新至最新版本。

gpu-device-plugin

將 gpu-device-plugin 元件從 1.33.12-gke.4 版更新至 1.33.13-gke.2 版。

  • 安全性修正：
  • 其他：
    • 將 NRI 注入器、partition_gpu 和 persistenced 安裝程式的 Go 建構工具版本更新為 1.25。
    • 更新 GPU 裝置外掛程式及其相關聯元件的基本映像檔：gke-metrics-collector、nvidia-gpu-device-plugin、nvidia-partition-gpu 和 nvidia-persistenced-installer。

kubedns

將 kubedns 元件從 33.2.17 版更新至 33.2.18 版。

nodelocaldns

將 nodelocaldns 元件從 33.3.8 版更新至 33.3.9 版。

  • 其他：
    • 更新元件映像檔：Golang 基本映像檔更新為 1.25.14-bookworm，k8s-dns-node-cache 更新為 1.26.4-gke.26。

pdcsi

將 pdcsi 元件從 0.22.86 版更新至 0.22.88 版。

  • 安全性修正：
  • 其他：
    • 更新 csi-provisioner、csi-attacher、csi-resizer、csi-snapshotter、snapshot-controller 和 csi-snapshot-validation-webhook 的基本映像檔 (包括 Golang 1.27.1)，並將 csi-node-driver-registrar 更新至 v2.9.4-gke.94。
    • 更新 OpenTelemetry 檢測，改用 NewServerHandler，取代已淘汰的 UnaryServerInterceptor API。

1.33.13-gke.1721000

以下各節說明這個修補程式版本與前一個修補程式版本 1.33.13-gke.1647000 相比的變更。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.33.13 版變更記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

customer-logs-exporter

將 customer-logs-exporter 元件從 1.33.1-gke.21 版更新為 1.33.1-gke.22 版。

  • 其他：
    • 將 bash 基本映像檔更新為較新版本。

filestorecsi

將 filestorecsi 元件從 0.18.43 版更新至 0.18.44 版。

gcsfusecsi

將 gcsfusecsi 元件從 0.10.72 版更新至 0.10.74 版。

  • 安全性修正：
    • 將 google.golang.org/grpc 更新至 v1.83.1，並更新 csi-node-driver-registrar 映像檔，解決 CVE-2026-84304。
  • 其他：
    • 更新下列元件的 Go 執行階段和容器基本映像檔：gcs-fuse-csi-driver、csi-node-driver-registrar、gcs-fuse-csi-driver-sidecar-mounter 和 gcs-fuse-csi-driver-metadata-prefetch。

gvisor

將 gvisor 元件從 1.33.5 版更新至 1.33.8 版。

  • 其他：
    • 更新 node_token_broker/init 和 gke-distroless/static 的容器映像檔。

osimage

將 osimage 元件從 1.33.193 版更新至 1.33.208 版。

pdcsi

將 pdcsi 元件從 0.22.83 版更新至 0.22.86 版。

workloadautoscaler

將 workloadautoscaler 元件從 16.14.0 版更新至 16.15.0 版。

  • 其他：
    • 將垂直自動調度 Pod 資源元件 (包括許可控制器、建議工具和更新工具) 更新至 0.24.0-gke.18 版。

1.33.13-gke.1647000

以下各節說明這個修補程式版本與前一個修補程式版本 1.33.13-gke.1636000 相比的變更。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.33.13 版變更記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

kube-addon-manager

將 kube-addon-manager 元件從 31.0.21 版更新至 31.0.22 版。

  • 其他：
    • 將 gke-distroless/bash 容器映像檔更新至 gke_distroless_20260815.00_p0 版。

1.33.13-gke.1636000

以下各節說明這個修補程式版本與前一個修補程式版本 1.33.13-gke.1613000 相比的變更。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.33.13 版變更記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

envoy

將 envoy 元件從 1.0.21 版更新至 1.0.22 版。

  • 安全性修正：
    • 更新 kcp_envoy 映像檔，加入 TCP 連線集區指標驗證安全性修正。

1.33.13-gke.1613000

以下各節說明這個修補程式版本與前一個修補程式版本 1.33.13-gke.1547000 的差異。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.33.13 版變更記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

advanceddatapath

將 advanceddatapath 元件從 33.7.45 版更新至 33.7.46 版。

  • 安全性修正：
    • 更新 golang.org/x/net，解決 GO-2026-4440 和 GO-2026-5942。
    • 更新 golang.org/x/text 以解決 GO-2026-5970。
  • 其他：
    • 更新各種內部元件的 Debian 基本映像檔。

gcsfusecsi

將 gcsfusecsi 元件從 0.10.71 版更新至 0.10.72 版。

tpu-device-plugin

將 tpu-device-plugin 元件從 1.33.22-gke.9 版更新至 1.33.22-gke.10 版。

  • 安全性修正：
    • 將 google.golang.org/grpc 更新至 1.82.1 版，解決 GO-2026-6061 問題。

1.33.13-gke.1547000

以下各節說明這個修補程式版本與前一個修補程式版本 1.33.13-gke.1499000 相比的異動。如要瞭解上游 Kubernetes 變更，請參閱 Kubernetes 1.33.13 版變更記錄。

元件更新

下列各節說明這個修補程式版本中，特定 GKE 系統元件的更新資訊。

gcsfusecsi

將 gcsfusecsi 元件從 0.10.69 版更新至 0.10.71 版。

l7-lb-controller-combined

將 l7-lb-controller-combined 元件從 1.36.6-gke.1 版更新至 1.36.7-gke.1 版。

  • 功能：
    • 新增支援，可透過服務註解和新功能旗標預先佈建 NEG。
    • NEG 控制器現在可管理 NEGBinding 自訂資源，包括追蹤擁有權和回報狀態。
    • 強化獨立 L4 NEG 控制器的觀測能力，新增服務數量、同步延遲時間和狀態條件等指標，提升疑難排解效率。
    • 透過 ip-collection-v6 註解，新增網路負載平衡器 (NetLB) 的自備 IPv6 (BYOIPv6) 支援。
    • 改善 L4 獨立 NEG 控制器，支援從轉送規則讀取多個 IP 位址。
    • 更新拓撲供應器，在擷取可用區和子網路資訊時，可感知多個網路。
  • 錯誤修正：
    • 解決 NEG 控制器中的 worker goroutine 洩漏問題，避免 CPU 使用率大幅飆升。
    • 修正 L4 NetLB 中的空指標取消參照恐慌問題，該問題會在服務規格中省略 sessionAffinityConfig 時發生。
    • 改善 L4 Address Manager 驗證機制，以嚴格的 IP 剖析取代未錨定的規則運算式比對，避免偽陽性比對結果。
    • 修正位址刪除邏輯中的錯誤，避免誤用目標 IP 而非區域。
    • 實作 IPv6 位址標準化，並自動從轉送規則位址中移除 /96 前置字串，以符合嚴格的 Kubernetes API 驗證。
    • 修正獨立 NEG 控制器和 L4 領導者選舉之間的旗標衝突。
    • 在供應商設定中新增「tombstone」物件的處理方式，避免在刪除資源時發生篩選錯誤。
    • 確保 Service NEG 建立後，能立即在本地清單工具中使用，並啟用平行同步器執行功能，提升效能。
  • 安全性修正：
    • 將 golang.org/x/net 更新至 0.56.0 版，解決傳遞依附元件中已知的安全漏洞。
    • 清理 Google Compute Engine 供應商設定中的 INI 值，防止潛在的 CRLF 插入。
  • 其他：
    • 檢查位址可用性時，系統會擷取特定轉送規則，而非列出所有規則，藉此提升效能。
    • 獨立 NEG 控制器中的轉送規則數量上限為 10 個。
    • 在 FilteredInformers 中為節點 Informer 實作 allowMissing 支援，提升控制器穩定性。