GKE 1.33 更新日志

本文档列出了 Google Kubernetes Engine (GKE) 1.33 次要版本的补丁版本中的更改。

这些更改日志是有关特定 GKE 系统组件更新的补充信息。如需了解 GKE 中的功能、变更和安全问题，请参阅以下文档：

1.33.13-gke.1915000

以下部分介绍了此补丁版本与上一补丁版本 1.33.13-gke.1815000 相比所做的更改。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.33.13 变更日志。

Kubernetes 更新

k8s-api

将 k8s-api 同步群组从 1.33.13-gke.300 版更新到了 1.33.13-gke.800 版。

  • bug 修复：
    • 如果 Container-Optimized OS (COS) node-problem-detector (NPD) 已经在运行，则停止它以防止出现冲突的实例。
  • 安全修复程序：
    • 通过仅从 ControllerRevision 恢复 .Spec 字段，修复了 StatefulSet 控制器中的混淆代理漏洞，这有助于防止未经授权的跨命名空间 Pod 创建 (CVE-2026-2270)。
  • 其他：
    • 将 Go 运行时更新为 1.27.1，并更新了 kube-apiserver 和 kube-proxy 的容器基础映像（包括 go-runner、setcap 和 distroless-iptables）。

组件更新

以下部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

filestorecsi

filestorecsi 组件已从 0.18.46 版更新到 0.18.47 版。

  • 安全修复：
  • 其他：
    • 更新了边车容器映像：csi-provisioner、csi-resizer、csi-snapshotter 和 csi-node-driver-registrar。

gcp-controller-manager-combined

将 gcp-controller-manager-combined 组件从版本 33.0.31 更新到了 33.0.32。

  • 其他：
    • 更新了软件包依赖项。

gcsfusecsi

将 gcsfusecsi 组件从版本 0.10.74 更新到了 0.10.75。

  • 安全修复：
    • 更新了 csi-node-driver-registrar 容器映像，以解决 CVE-2026-84445 问题。

gpu-device-plugin

将 gpu-device-plugin 组件从 1.33.13-gke.2 版本更新到了 1.33.13-gke.4 版本。

netd-combined

将 netd-combined 组件从 13.5.4 版更新到了 13.5.5 版。

osimage

将 osimage 组件从版本 1.33.211 更新到了 1.33.214。

  • 功能：
    • 添加了对裸金属 TPU 的支持。
    • 将 Linux 内核更新到了 6.6.157。
    • 将 Docker 更新到了 v27.5.1。
    • 将 Containerd 更新到了 v2.0.10。
  • bug 修复：
    • 将 app-arch/bzip2 升级到 v1.0.8-r5。
  • 其他：
    • 这是一个长期支持 (LTS) 刷新版本。

pdcsi

将 pdcsi 组件从 0.22.88 版更新到了 0.22.90 版。

workloadautoscaler

将 workloadautoscaler 组件从 16.15.0 版更新到了 16.16.0 版。

  • 其他：
    • 已将 Workload Autoscaler 组件（admission-controller、recommender 和 updater）更新到版本 0.24.0-gke.19。

1.33.13-gke.1815000

以下部分介绍了此补丁版本与上一个补丁版本 1.33.13-gke.1721000 相比所做的更改。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.33.13 变更日志。

组件更新

以下部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

filestorecsi

将 filestorecsi 组件从版本 0.18.44 更新到了 0.18.46。

  • 安全修复程序：
    • 将 golang.org/x/crypto 更新至 v0.56.0，以解决 CVE-2026-78662 问题。
    • 更新了 google.golang.org/grpc，以解决 CVE-2026-84304 和 CVE-2026-84445 问题。
    • 将容器基础映像更新到了最新版本。
  • 其他：
    • 将 Go 运行时更新到了 v1.27.1，并更新了容器基础映像和边车组件（包括 csi-node-driver-registrar）。

gcp-controller-manager-combined

将 gcp-controller-manager-combined 组件从 33.0.30 版更新到了 33.0.31 版。

  • 其他：
    • 将 Go 和 distroless（bash 和静态）基础映像更新到了最新版本。

gpu-device-plugin

将 gpu-device-plugin 组件从 1.33.12-gke.4 版更新到了 1.33.13-gke.2 版。

  • 安全修复程序：
  • 其他：
    • 将 NRI 注入器、partition_gpu 和 persistenced 安装程序的 Go 构建器版本更新为 1.25。
    • 更新了 GPU 设备插件及其关联组件的基础映像：gke-metrics-collector、nvidia-gpu-device-plugin、nvidia-partition-gpu 和 nvidia-persistenced-installer。

kubedns

将 kubedns 组件从 33.2.17 版更新到了 33.2.18 版。

nodelocaldns

将 nodelocaldns 组件从版本 33.3.8 更新到了 33.3.9。

  • 其他：
    • 更新了组件映像：Golang 基础映像更新为 1.25.14-bookworm，k8s-dns-node-cache 更新为 1.26.4-gke.26。

pdcsi

将 pdcsi 组件从 0.22.86 版更新到了 0.22.88 版。

  • 安全修复程序：
  • 其他：
    • 更新了 csi-provisioner、csi-attacher、csi-resizer、csi-snapshotter、snapshot-controller 和 csi-snapshot-validation-webhook 的基础映像（包括 Golang 1.27.1），并将 csi-node-driver-registrar 更新到了 v2.9.4-gke.94。
    • 更新了 OpenTelemetry 插桩，以使用 NewServerHandler，取代已废弃的 UnaryServerInterceptor API。

1.33.13-gke.1721000

以下部分介绍了此补丁版本与上一个补丁版本 1.33.13-gke.1647000 相比的变化。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.33.13 变更日志。

组件更新

以下部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

customer-logs-exporter

将 customer-logs-exporter 组件从 1.33.1-gke.21 版更新到了 1.33.1-gke.22 版。

  • 其他：
    • 将 bash 基础映像更新为较新的版本。

filestorecsi

将 filestorecsi 组件从 0.18.43 版更新到了 0.18.44 版。

gcsfusecsi

将 gcsfusecsi 组件从版本 0.10.72 更新到了 0.10.74。

  • 安全修复程序：
    • 将 google.golang.org/grpc 更新为 v1.83.1，并更新了 csi-node-driver-registrar 映像，以解决 CVE-2026-84304。
  • 其他：
    • 更新了以下组件的 Go 运行时和容器基础映像：gcs-fuse-csi-driver、csi-node-driver-registrar、gcs-fuse-csi-driver-sidecar-mounter 和 gcs-fuse-csi-driver-metadata-prefetch。

gvisor

将 gvisor 组件从版本 1.33.5 更新为 1.33.8。

  • 其他：
    • 更新了 node_token_broker/init 和 gke-distroless/static 的容器映像。

osimage

将 osimage 组件从 1.33.193 版更新到了 1.33.208 版。

pdcsi

将 pdcsi 组件从 0.22.83 版更新到了 0.22.86 版。

workloadautoscaler

将 workloadautoscaler 组件从版本 16.14.0 更新到了 16.15.0。

  • 其他：
    • 将 Pod 纵向自动扩缩器组件（包括准入控制器、推荐器和更新器）更新为 0.24.0-gke.18 版。

1.33.13-gke.1647000

以下各部分介绍了此补丁版本与上一个补丁版本 1.33.13-gke.1636000 相比所做的更改。如需了解上游 Kubernetes 更改，请参阅 Kubernetes v1.33.13 变更日志。

组件更新

以下部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

kube-addon-manager

将 kube-addon-manager 组件从 31.0.21 版更新到了 31.0.22 版。

  • 其他：
    • 将 gke-distroless/bash 容器映像更新到了版本 gke_distroless_20260815.00_p0。

1.33.13-gke.1636000

以下部分介绍了此补丁版本与上一补丁版本 1.33.13-gke.1613000 相比所做的变更。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.33.13 变更日志。

组件更新

以下部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

envoy

将 Envoy 组件从版本 1.0.21 更新到了 1.0.22。

  • 安全修复程序：
    • 更新了 kcp_envoy 映像，以包含 TCP 连接池指针验证安全修复。

1.33.13-gke.1613000

以下部分介绍了此补丁版本与上一个补丁版本 1.33.13-gke.1547000 相比所做的更改。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.33.13 变更日志。

组件更新

以下部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

advanceddatapath

将 advanceddatapath 组件从版本 33.7.45 更新到了 33.7.46。

  • 安全修复程序：
    • 更新了 golang.org/x/net 以解决 GO-2026-4440 和 GO-2026-5942。
    • 更新了 golang.org/x/text 以解决 GO-2026-5970。
  • 其他：
    • 更新了各种内部组件的 Debian 基础映像。

gcsfusecsi

将 gcsfusecsi 组件从版本 0.10.71 更新到了 0.10.72。

tpu-device-plugin

将 tpu-device-plugin 组件从 1.33.22-gke.9 版更新到了 1.33.22-gke.10 版。

  • 安全修复程序：
    • 已将 google.golang.org/grpc 更新至 v1.82.1，以解决 GO-2026-6061 问题。

1.33.13-gke.1547000

以下部分介绍了此补丁版本与上一个补丁版本 1.33.13-gke.1499000 相比所发生的变更。如需了解上游 Kubernetes 变更，请参阅 Kubernetes v1.33.13 变更日志。

组件更新

以下部分提供了有关此补丁版本中特定 GKE 系统组件更新的信息。

gcsfusecsi

将 gcsfusecsi 组件从 0.10.69 版更新到了 0.10.71 版。

l7-lb-controller-combined

将 l7-lb-controller-combined 组件从版本 1.36.6-gke.1 更新到了 1.36.7-gke.1。

  • 功能：
    • 添加了对通过服务注解和新功能标志进行 NEG 预配的支持。
    • 引入了 NEG 控制器对 NEGBinding 自定义资源的管理，包括所有权跟踪和状态报告。
    • 增强了独立 L4 NEG 控制器的可观测性，新增了服务数量、同步延迟时间和状态条件等指标，以便更好地排查问题。
    • 通过 ip-collection-v6 注解，在网络负载均衡器 (NetLB) 中添加了对自备 IPv6 (BYOIPv6) 的支持。
    • 改进了 L4 独立 NEG 控制器，以支持从转发规则中读取多个 IP 地址。
    • 更新了拓扑提供程序，使其在检索可用区和子网信息时能够识别多个网络。
  • 问题修复：
    • 修复了 NEG 控制器中导致 CPU 显著飙升的工作器 goroutine 泄漏问题。
    • 修复了从服务规范中省略 sessionAffinityConfig 时 L4 NetLB 中出现的 nil 指针解引用 panic。
    • 改进了 L4 地址管理器验证，将无锚点正则表达式匹配替换为严格的 IP 解析，以防止假正例匹配。
    • 修复了地址删除逻辑中的一个 bug，该 bug 导致错误地使用了目标 IP 而不是区域。
    • 实现了 IPv6 地址规范化，并自动从转发规则地址中剥离 /96 前缀，以符合严格的 Kubernetes API 验证。
    • 修复了独立 NEG 控制器与 L4 领导者选举之间的标志冲突。
    • 在提供方配置中添加了对“墓碑”对象的处理，以防止在资源删除期间出现过滤错误。
    • 确保服务 NEG 在创建后立即在本地列表器中可用，并启用并行同步器执行以提高性能。
  • 安全修复程序：
    • 将 golang.org/x/net 更新为 v0.56.0，以解决传递依赖项中的已知安全漏洞。
    • 清理了 Google Compute Engine 提供程序配置中的 INI 值，以防止潜在的 CRLF 注入。
  • 其他：
    • 通过检索特定转发规则（而不是在检查地址可用性时列出所有规则）来优化性能。
    • 在独立 NEG 控制器中强制执行了 10 条转发规则的限制。
    • 在 FilteredInformers 中为 Node informer 实现了 allowMissing 支持，以提高控制器的稳健性。