Envoy
v1.38.4Networking & Messagingセキュリティ関連の修正を中心としたメンテナンスリリースです。脆弱性への対応に加え、クラッシュやメモリ安全性の問題を修正し、リクエスト処理の既定動作も変更しています。
要対応 (1)
securityパスセグメント単位のパスパラメーター除去
CVE-2026-73511（GHSA-m745-gh6x-349x）に対応し、URL正規化でRFC 3986 section 3.3に従って各パスセグメントからパスパラメーターを除去する動作になりました。
envoy.で元に戻せます。reloadable_features. strip_path_parameters_per_segment
影響確認 (12)
securityHTTP/3フレーム処理の
UAF修正http3を実行している場合に適用されます。CVE-2026-73512（GHSA-r6j2-mrm5-72mg）に対応し、特定のタイミングでHTTP/3フレームを受信した際に発生する
UAFを修正しました。securityHTTP/2トレーラー受信時の異常終了修正
http2を実行している場合に適用されます。CVE-2026-73513（GHSA-jjmm-fw8p-crpw）に対応し、
END_STREAMフラグなしでトレーラーを受信した際にプロセスが異常終了する問題を修正しました。security管理画面の統計名のサニタイズ
envoy.が有効な場合に適用されます。reloadable_features. sanitize_html_stats_names CVE-2026-73546（GHSA-pv9h-4fxf-7vrg）に対応し、管理画面で統計名をHTMLへ変換する前にサニタイズするようになりました。この動作は
envoy.で制御されます。reloadable_features. sanitize_html_stats_names securityURIパスのない
ext_authzリクエストの異常終了修正ext_authzを実行している場合に適用されます。CVE-2026-73547（GHSA-87ph-jqwm-pg6r）に対応し、URIパスのないリクエスト、つまり
CONNECTリクエストでプロセスが異常終了する問題を修正しました。security汎用HTTPアップグレード前のペイロード処理
httpを実行している場合に適用されます。CVE-2026-73548（GHSA-3vhp-c83q-jqc2）に対応し、汎用HTTPアップグレードの受理前に送られたペイロードをパイプライン化されたHTTP/1リクエストとして解釈し、共有アップストリーム接続を汚染する問題を修正しました。
envoy.で元に戻せます。reloadable_features. http_pause_generic_upgrade_request_body securityQUICのスコープ付きIPv6アドレス処理
quicを実行している場合に適用されます。CVE-2026-73549（GHSA-jp5f-qr64-c9vw）に対応し、QUICクライアント接続およびOriginal Dstクラスターでスコープ付きIPv6アドレスを処理した際にクラッシュする問題を修正しました。
security破棄された
Hostヘッダーのサイズ計上http2を実行している場合に適用されます。CVE-2026-73550（GHSA-qgf6-qvhw-4hvh）に対応し、破棄された
Hostヘッダーもリクエストヘッダーマップのサイズおよび件数の上限に算入するようになりました。envoy.で元に戻せます。reloadable_features. http2_track_size_of_dropped_host_header securityドットセグメントのパスパラメーター除去
normalize_pathが有効な場合に適用されます。CVE-2026-73551（GHSA-2w8w-rfw7-8gg4）に対応し、URL正規化で
/.および; /.のドットセグメントとドットドットセグメントからパスパラメーターを除去し、正規化で正しく解釈するようになりました。. ; envoy.で元に戻せます。reloadable_features. strip_dotdot_segments_with_parameters security
safe_regexの文字セットモード変更safe_regexを実行している場合に適用されます。CVE-2026-73552（GHSA-23xh-2qxr-3xv8）に対応し、HTTPヘッダーがUTF-8でエンコードされていないことに合わせて、
safe_regexの文字セットモードをUTF-8からLatin1へ変更しました。envoy.で元に戻せます。reloadable_features. re2_use_latin1_mode securityRBACパスマッチングのパラメーター設定対応
rbacを実行し、ignore_path_parameters_in_path_matchingを設定している場合に適用されます。CVE-2026-73553（GHSA-77x5-xqjg-hprq）に対応し、RBACのパスマッチングがルートの
ignore_path_parameters_in_path_matchingを考慮するようになりました。追加されたパスパラメーターによる認可回避を防ぎます。envoy.で元に戻せます。reloadable_features. rbac_respect_ignore_path_parameters securityHTTP経由の
ext_authzにおけるUAF修正ext_authzを実行している場合に適用されます。CVE-2026-50572（GHSA-q8wp-gf7q-m8cv）に対応し、HTTP経由の
ext_authzがリクエストを拒否した際に発生するUAFを修正しました。securityALPNでHTTP/3を選択した場合の異常終了修正
http3を実行している場合に適用されます。CVE-2026-48521（GHSA-5vff-j9p4-38j3）に対応し、ALPNでアップストリームプロトコルを選択し、サーバーがHTTP/3を使用する場合にプロセスが異常終了する問題を修正しました。
その他の記録済み変更 5 件すべてfixes 5
fixes (5)
- - http: fixed a filter manager bug where a body frame moved into the filter-manager buffer via
addDecodedData()/addEncodedData()immediately before returningContinuewas silently dropped, corrupting large streamed bodies. Revert withenvoy..reloadable_features. filter_manager_forward_added_data_on_continue - - ext_proc: fixed multiple lifetime bugs in the ext_proc filter and the underlying gRPC async client that could lead to use-after-free or double delivery of callbacks.
- - router: fixed a lifetime bug in dynamic forward proxy async host selection when the cluster is removed while lookup is still pending.
- - tls: fixed a memory leak in the OpenSSL compatibility layer where
SSL_get0_peer_certificates()leaked anX509refcount per call, preventing certificates from being freed on connection close. - - tls: fixed a bug where OpenSSL used glibc's allocator instead of tcmalloc, operating on a separate heap and making OpenSSL allocations invisible to tcmalloc heap profiling.
対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチも、その一例です。