Envoy

v1.39.3Networking & Messaging

2026年10月6日

セキュリティメンテナンスリリースです。Envoyフィルターで発生するクラッシュ脆弱性を修正し、`:path` ヘッダーのない CONNECT リクエストを安全に扱うようになりました。

影響確認 (2)

securityoauth2 フィルターの CONNECT リクエスト処理修正
:path ヘッダーのない CONNECT リクエストに適用されます。
:path ヘッダーのない CONNECT リクエストで oauth2 フィルターがクラッシュする問題を修正しました。このリクエストは 400 で拒否されます。該当するアドバイザリは GHSA-8vc2-jrm4-835w です。
GHSA-8vc2-jrm4-835w
securityapi_key_auth の認証時クラッシュ修正
hide_credentials を有効にし、キーソースに query を設定している場合に適用されます。
hide_credentials を有効にし、キーソースに query を設定している場合、別のキーソースで認証された :path ヘッダーなしの CONNECT リクエストで api_key_auth がクラッシュする問題を修正しました。該当するアドバイザリは GHSA-47vj-9r25-wv5j です。
GHSA-47vj-9r25-wv5j

Envoyをスタックに追加

対応が必要なリリースが出たときに、週次メールでお知らせします。今回のセキュリティパッチも、その一例です。