Envoy
v1.36.10Networking & Messaging脆弱性修正を多数含む、セキュリティ対応を中心としたメンテナンスリリースです。通常の正確性に関する修正も含まれ、再読み込み可能な機能ゲートで動作を切り替える変更があります。
影響確認 (13)
securityパスセグメント単位のパラメーター除去
URL正規化を利用している場合に適用されます。
url normalizationで、RFC 3986 section 3.3に従い、各パスセグメントからパスパラメーターを除去するようになりました。envoy.で元に戻せます。CVE-2026-73511（GHSA-m745-gh6x-349x）に対応しています。reloadable_features. strip_path_parameters_per_segment securityHTTP/3フレーム処理の解放済みメモリ使用修正
http3を利用している場合に適用されます。http3で、特定のタイミングで受信したHTTP/3フレームの並びによる解放済みメモリの使用を修正しました。CVE-2026-73512（GHSA-r6j2-mrm5-72mg）に対応しています。securityHTTP/2トレーラー処理の異常終了修正
http2を利用している場合に適用されます。http2で、END_STREAMフラグなしで受信したトレーラーによる異常終了を修正しました。CVE-2026-73513（GHSA-jjmm-fw8p-crpw）に対応しています。securityadmin統計名のHTML変換前サニタイズ
adminインターフェースを利用している場合に適用されます。adminで、統計名をHTMLに変換する前にサニタイズするようになりました。envoy.で制御されます。CVE-2026-73546（GHSA-pv9h-4fxf-7vrg）に対応しています。reloadable_features. sanitize_html_stats_names securityURIパスのないリクエストによる
ext_authzの異常終了修正ext_authzを利用している場合に適用されます。ext_authzで、URIパスのないリクエスト（CONNECTなど）による異常終了を修正しました。CVE-2026-73547（GHSA-87ph-jqwm-pg6r）に対応しています。security汎用HTTPアップグレード前のペイロード処理修正
HTTP汎用アップグレードを利用している場合に適用されます。
httpで、汎用HTTPアップグレードの受理前に送信されたペイロードがパイプライン化されたHTTP/1リクエストとして解釈され、共有アップストリーム接続を汚染する問題を修正しました。envoy.で元に戻せます。CVE-2026-73548（GHSA-3vhp-c83q-jqc2）に対応しています。reloadable_features. http_pause_generic_upgrade_request_body securityQUICのスコープ付きIPv6アドレス処理修正
quicを利用している場合に適用されます。quicで、QUICクライアント接続およびOriginal Dstクラスターにおけるスコープ付きIPv6アドレスの処理時のクラッシュを修正しました。CVE-2026-73549（GHSA-jp5f-qr64-c9vw）に対応しています。security破棄されたHostヘッダーの制限値への算入
http2を利用している場合に適用されます。http2で、破棄されたHostヘッダーもリクエストヘッダーマップのサイズおよび個数の制限に算入するようになりました。envoy.で元に戻せます。CVE-2026-73550（GHSA-qgf6-qvhw-4hvh）に対応しています。reloadable_features. http2_track_size_of_dropped_host_header securityドットセグメントのパラメーター除去
normalize_pathが有効な場合に適用されます。url normalizationで、ドットおよびドットドットセグメント（/.、; /.）からパスパラメーターを除去し、正規化で正しく解釈するようになりました。. ; normalize_pathが有効な場合だけ適用され、envoy.で元に戻せます。CVE-2026-73551（GHSA-2w8w-rfw7-8gg4）に対応しています。reloadable_features. strip_dotdot_segments_with_parameters security
safe_regexの文字セットモード変更safe_regexを利用している場合に適用されます。safe_regexの文字セットモードをUTF-8からLatin1に変更しました。HTTPヘッダーがUTF-8エンコードではないことに対応しています。envoy.で元に戻せます。CVE-2026-73552（GHSA-23xh-2qxr-3xv8）に対応しています。reloadable_features. re2_use_latin1_mode securityRBACパス照合におけるパスパラメーター設定の反映
rbacを利用し、ignore_path_parameters_in_path_matchingを設定している場合に適用されます。rbacのパス照合が、ルートのignore_path_parameters_in_path_matching設定を尊重するようになりました。追加されたパスパラメーターによる認可回避を防ぎます。envoy.で元に戻せます。CVE-2026-73553（GHSA-77x5-xqjg-hprq）に対応しています。reloadable_features. rbac_respect_ignore_path_parameters securityHTTP経由の
ext_authzにおける解放済みメモリ使用修正HTTP経由で
ext_authzを利用している場合に適用されます。HTTP経由の
ext_authzで、リクエストが拒否された際に発生する解放済みメモリの使用を修正しました。CVE-2026-50572（GHSA-q8wp-gf7q-m8cv）に対応しています。securityALPNでHTTP/3を選択した場合の異常終了修正
http3を利用している場合に適用されます。http3で、ALPNによってアップストリームプロトコルが選択され、サーバーがHTTP/3を使用する場合の異常終了を修正しました。CVE-2026-48521（GHSA-5vff-j9p4-38j3）に対応しています。
その他の記録済み変更 4 件すべてfixes 4
fixes (4)
- - http: fixed a filter manager bug where a body frame moved into the filter-manager buffer via
addDecodedData()/addEncodedData()immediately before returningContinuewas silently dropped, corrupting large streamed bodies. Revert withenvoy..reloadable_features. filter_manager_forward_added_data_on_continue - - ext_proc: fixed multiple lifetime bugs in the ext_proc filter and the underlying gRPC async client that could lead to use-after-free or double delivery of callbacks.
- - ext_proc: fixed a bug to support two ext_proc filters configured in the chain. Revert with
envoy..reloadable_features. ext_proc_inject_data_with_state_update - - router: fixed a lifetime bug in dynamic forward proxy async host selection when the cluster is removed while lookup is still pending.
対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチも、その一例です。