Envoy
v1.37.8Networking & Messaging2026年10月6日
セキュリティ保守として、Envoyフィルターでクラッシュにつながる脆弱性を修正しています。`oauth2`フィルターでは、`:path`ヘッダーのないリクエストを`400`で拒否する動作になりました。
影響確認 (2)
security
oauth2フィルターのクラッシュ修正oauth2フィルターが:pathヘッダーのないリクエストを受け取る場合に適用されます。GHSA-8vc2-jrm4-835wの問題を修正しました。
oauth2フィルターは、:pathヘッダーのないリクエスト（CONNECTなど）を400で拒否します。security
api_key_authのクラッシュ修正hide_credentialsを有効にし、キーソースがqueryで、:pathヘッダーのないリクエストが別のキーソースで認証される場合に適用されます。GHSA-47vj-9r25-wv5jの問題を修正しました。
hide_credentialsを有効にし、キーソースにqueryを指定した構成で、:pathヘッダーのないリクエストが別のキーソースで認証される場合のクラッシュを防ぎます。
Envoyをスタックに追加
対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチも、その一例です。