Envoy

v1.38.5Networking & Messaging

2026年10月1日

TLSハンドシェイクで悪用される可能性があるBoringSSLの問題を修正し、Debian bullseye向けパッケージングを削除した保守リリースです。リリースビルド関連の内部更新も含まれます。

要対応 (2)

securitymediumBoringSSLの証明書解析における過剰なメモリ割り当てを修正
CVE-2026-35189 に対応し、nameRelativeToCRLIssuer を含む CRL Distribution Points の証明書解析で過剰なメモリ割り当てが発生する問題を修正しました。この問題は TLS ハンドシェイク中にリモートからサービス拒否を引き起こされる可能性がありました。--config=boringssl-fips の BoringSSL FIPS ビルドにはこの修正は適用されません。
CVE-2026-35189
breakingDebian bullseye（11）向けパッケージングを削除
Debian bullseye（11）はライフサイクル終了となり、主要な Debian ミラーからリポジトリを取得できなくなったため、Debian bullseye（11）向けのパッケージングを削除しました。

Envoyをスタックに追加

対応が必要なリリースが出たときに、週次メールでお知らせします。今回のセキュリティパッチと破壊的変更も、その一例です。