Envoy
v1.36.12Networking & Messaging2026年10月6日
セキュリティ保守リリースで、Envoyフィルターのクラッシュにつながる問題を修正しています。形式が不正なリクエストの一部はHTTP 400で拒否されます。
影響確認 (2)
security
oauth2で:pathヘッダーのないリクエストをHTTP 400で拒否oauth2拡張機能を使用している場合に適用されます。GHSA-8vc2-jrm4-835wに対応し、
:pathヘッダーのないリクエスト（CONNECT）をoauth2フィルターが400で拒否するようになりました。security
api_key_authの特定条件下でのクラッシュ修正api_key_auth拡張機能を使用し、hide_credentialsとqueryを設定している場合に適用されます。GHSA-47vj-9r25-wv5jに対応しました。
hide_credentialsを有効にし、キーの取得元にqueryを設定している場合、:pathヘッダーのないリクエスト（CONNECT）が別のキー取得元で認証されるとクラッシュする問題を修正しています。
Envoyをスタックに追加
対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチも、その一例です。