Envoy
v1.39.1Networking & Messagingセキュリティ上の問題を中心に、HTTP 処理、URL の正規化、認可、QUIC、TLS、拡張機能に関する修正が含まれています。通常の正確性とメモリ管理に関する不具合も修正されています。
要対応 (5)
securityHTTP/3 フレーム処理の解放済みメモリ使用を修正
CVE-2026-73512（GHSA-r6j2-mrm5-72mg）に対応し、特定の順序とタイミングで受信した HTTP/3 フレームによる解放済みメモリの使用を修正しました。
securityHTTP/2 トレーラー受信時の異常終了を修正
CVE-2026-73513（GHSA-jjmm-fw8p-crpw）に対応し、
END_STREAMフラグなしでトレーラーを受信した際の異常終了を修正しました。securityURI パスのない
ext_authzリクエストの異常終了を修正CVE-2026-73547（GHSA-87ph-jqwm-pg6r）に対応し、URI パスのないリクエスト（
CONNECTなど）をext_authzが処理した際の異常終了を修正しました。security破棄された Host ヘッダーを HTTP/2 の制限に算入
CVE-2026-73550（GHSA-qgf6-qvhw-4hvh）に対応し、破棄された
Hostヘッダーもリクエストヘッダーマップのサイズ制限と個数制限に算入するようになりました。envoy.で元に戻せます。reloadable_features. http2_track_size_of_dropped_host_header securityALPN 経由の HTTP/3 選択時の異常終了を修正
CVE-2026-48521（GHSA-5vff-j9p4-38j3）に対応し、ALPN でアップストリームプロトコルを選択し、サーバーが HTTP/3 を使用する場合の異常終了を修正しました。
影響確認 (8)
securityパスセグメント単位のパラメーター除去
URL正規化を使用しており、
envoy.を有効にしていない場合に適用されます。reloadable_features. strip_path_parameters_per_segment CVE-2026-73511（GHSA-m745-gh6x-349x）に対応し、
url normalizationでRFC 3986 section 3.に従って各パスセグメントからパスパラメーターを除去するようになりました。3 envoy.で元に戻せます。reloadable_features. strip_path_parameters_per_segment securityadmin の統計名を HTML 変換前にサニタイズ
adminサブシステムを使用し、envoy.を有効にしている場合に適用されます。reloadable_features. sanitize_html_stats_names CVE-2026-73546（GHSA-pv9h-4fxf-7vrg）に対応し、
adminで統計名を HTML に変換する前にサニタイズするようになりました。この処理はenvoy.で制御されます。reloadable_features. sanitize_html_stats_names securityHTTP アップグレード前のペイロード処理を修正
HTTPを使用しており、
envoy.を有効にしていない場合に適用されます。reloadable_features. http_pause_generic_upgrade_request_body CVE-2026-73548（GHSA-3vhp-c83q-jqc2）に対応し、汎用 HTTP アップグレードの受理前に送られたペイロードがパイプライン化された HTTP/1 リクエストとして解釈され、共有アップストリーム接続を汚染する問題を修正しました。
envoy.で元に戻せます。reloadable_features. http_pause_generic_upgrade_request_body securityQUIC のスコープ付き IPv6 アドレス処理を修正
QUICクライアント接続または Original Dst クラスターを使用している場合に適用されます。
CVE-2026-73549（GHSA-jp5f-qr64-c9vw）に対応し、QUIC クライアント接続および Original Dst クラスターでスコープ付き IPv6 アドレスを処理した際のクラッシュを修正しました。
securityドットセグメントのパスパラメーター除去
normalize_pathが設定され、envoy.を有効にしていない場合に適用されます。reloadable_features. strip_dotdot_segments_with_parameters CVE-2026-73551（GHSA-2w8w-rfw7-8gg4）に対応し、
normalize_pathが有効な場合、正規化で正しく解釈できるよう/.と; /.のようなドットおよびドットドットのセグメントからパスパラメーターを除去します。. ; envoy.で元に戻せます。reloadable_features. strip_dotdot_segments_with_parameters security
safe_regexの文字セットモードを Latin1 に変更safe_regexを使用しており、envoy.を有効にしていない場合に適用されます。reloadable_features. re2_use_latin1_mode CVE-2026-73552（GHSA-23xh-2qxr-3xv8）に対応し、HTTP ヘッダーが UTF-8 エンコードではないことに合わせて、
safe_regexの文字セットモードを UTF-8 から Latin1 に変更しました。envoy.で元に戻せます。reloadable_features. re2_use_latin1_mode securityRBAC パス照合でパスパラメーター設定を尊重
rbacを使用し、ignore_path_parameters_in_path_matchingを設定していて、envoy.を有効にしていない場合に適用されます。reloadable_features. rbac_respect_ignore_path_parameters CVE-2026-73553（GHSA-77x5-xqjg-hprq）に対応し、
rbacのパス照合がルートのignore_path_parameters_in_path_matchingを尊重するようになりました。追加されたパスパラメーターによる認可回避を防ぎます。envoy.で元に戻せます。reloadable_features. rbac_respect_ignore_path_parameters securityHTTP 経由の
ext_authz拒否処理を修正ext_authzと HTTP を使用している場合に適用されます。CVE-2026-50572（GHSA-q8wp-gf7q-m8cv）に対応し、HTTP 経由の
ext_authzがリクエストを拒否した際に発生する解放済みメモリの使用を修正しました。
その他の記録済み変更 4 件すべてfixes 4
fixes (4)
- - http: fixed a filter manager bug where a body frame moved into the filter-manager buffer via
addDecodedData()/addEncodedData()immediately before returningContinuewas silently dropped, corrupting large streamed bodies. Revert withenvoy..reloadable_features. filter_manager_forward_added_data_on_continue - - ext_proc: fixed multiple lifetime bugs in the ext_proc filter and the underlying gRPC async client that could lead to use-after-free or double delivery of callbacks.
- - tls: fixed a memory leak in the OpenSSL compatibility layer where
SSL_get0_peer_certificates()leaked anX509refcount per call, preventing certificates from being freed on connection close. - - tls: fixed a bug where OpenSSL used glibc's allocator instead of tcmalloc, operating on a separate heap and making OpenSSL allocations invisible to tcmalloc heap profiling.
対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチも、その一例です。