リリース

影響確認 (2)

• breakingenvoy.network.connection_balance.dlb の削除

  envoy.network.connection_balance.dlb を使用している場合に適用されます。

  ソースアーカイブの問題を受け、Intel DLB接続バランサーである envoy.network.connection_balance.dlb を、すべてのビルドとプラットフォームでBazelレイヤーから無効にしました。

• breakingTLS証明書圧縮の既定値変更

  envoy.reloadable_features.tls_certificate_compression_brotli を設定していない場合に適用されます。

  envoy.reloadable_features.tls_certificate_compression_brotli のランタイムガードを、既定で無効にしました。

影響確認 (16)

• securityhighREQUESTED_SERVER_NAME設定時のクラッシュ修正

  REQUESTED_SERVER_NAMEを設定している場合に該当します。

  CVE-2026-47220（GHSA-j9wh-4qfm-wf2v）に対応し、REQUESTED_SERVER_NAME の設定時に発生するクラッシュを修正しました。

• securityhighzstd RLE zip bombの修正

  zstdに依存している場合に該当します。

  CVE-2026-48044（GHSA-m3p9-47wh-88wg）に対応し、zstdのRLE zip bombを修正しました。

• securityhigh深くネストしたJSONのスタックオーバーフロー修正

  JSONを使用している場合に該当します。

  CVE-2026-48042（GHSA-f24p-rxw2-g6pv）に対応し、深くネストしたJSONのデストラクターで発生するスタックオーバーフローを修正しました。

• リリースページにあと 13 件

影響確認 (15)

• securityhighzstd の RLE zip bomb 対策

  zstd を使用している場合に適用されます。

  zstd の RLE zip bomb に関する問題を修正しました。CVE-2026-48044 に対応しています。

• securityhighHTTP/3 から HTTP/1 へのリクエストスマグリング修正

  HTTP/3 と HTTP/1 を使用している場合に適用されます。

  HTTP/3 から HTTP/1 へのリクエストで、Content-Length が0以外のヘッダーのみのリクエストを使ったリクエストスマグリングを修正しました。CVE-2026-48743 に対応しています。

• securityhighcom_github_wasmtime の更新

  wasm を使用している場合に適用されます。

  wasm の依存関係 com_github_wasmtime を更新し、CVE-2026-47261 に対応しました。

• リリースページにあと 12 件

影響確認 (14)

• securityhighzstd RLE zip bombの問題を修正

  zstd を使用している場合に該当します。

  zstd のRLE zip bombに関する問題を修正しました。CVE-2026-48044 および GHSA-m3p9-47wh-88wg に対応しています。

• securityhighHTTP/3 のコンテンツ長検証を修正

  HTTP/3 を使用している場合に該当します。

  HTTP/3 のヘッダーだけで構成されたリクエストとレスポンスで、コンテンツ長が検証されない問題を修正しました。CVE-2026-48743 および GHSA-8phg-2h2q-jgxf に対応しています。

• securityhighwasmのcom_github_wasmtimeを更新

  wasm を使用している場合に該当します。

  wasmで使用するcom_github_wasmtimeを更新し、CVE-2026-47261 に対応しました。

• リリースページにあと 11 件

影響確認 (4)

• securityhighHTTP/2ヘッダー制限へのCookie計上

  HTTP/2を使用しており、envoy.reloadable_features.http2_include_cookies_in_limitsを有効にしていない場合に適用されます。

  設定した最大ヘッダーリストサイズに違反したHTTP/2ストリームをリセットするようになりました。非圧縮Cookieも mutable_max_request_headers_kb と max_headers_count の制限に加わり、HPACK cookie-bombによる過剰なメモリ使用を防ぎます。envoy.reloadable_features.http2_include_cookies_in_limits で従来の動作に戻せます。

• securityoauth2のHMAC検証におけるタイミングサイドチャネル修正

  oauth2を使用している場合に適用されます。

  oauth2 のHMAC検証にあったタイミングサイドチャネルを修正しました。HMAC秘密情報が有効かどうか漏えいする可能性があった問題です。

• breakingHTTPレスポンスボディからの上流失敗理由の除外

  routerを使用しており、envoy.reloadable_features.hide_transport_failure_reason_in_response_bodyを有効にしていない場合に適用されます。

  router が下流クライアントへ返すHTTPレスポンスボディに、上流トランスポートの失敗理由を含めなくなりました。失敗理由はアクセスログの %UPSTREAM_TRANSPORT_FAILURE_REASON% で引き続き確認できます。envoy.reloadable_features.hide_transport_failure_reason_in_response_body で従来の動作に戻せます。

• リリースページにあと 1 件

影響確認 (6)

• securityquery_parameter_mutations の値を URL エンコード

  query_parameter_mutations を設定している場合に適用されます。

  query_parameter_mutations で追加するクエリパラメーターの値が URL エンコードされ、インジェクションを防ぐようになりました。

• securityRBAC の連結ベースのバイパスを修正

  RBAC が実行される場合に適用されます。

  RBAC における連結ベースのバイパスを防ぐ修正が入りました。

• breakingmax_early_data_bytes の明示設定を必須化

  upstream_connect_mode に IMMEDIATE 以外の値を設定し、max_early_data_bytes を設定していない場合に適用されます。

  upstream_connect_mode が IMMEDIATE 以外の場合、max_early_data_bytes の明示設定が必要になりました。未設定のままでは起動時の検証に失敗します。

• リリースページにあと 3 件

事前準備 (1)

• deprecatedenforce_rsa_key_usage の非推奨化削除時期は未定

  enforce_rsa_key_usage を設定している場合に適用されます。

  enforce_rsa_key_usage は非推奨となり、次のリリースで削除されます。

影響確認 (2)

• breakingHTTPリセットコードのデフォルト変更

  適用対象はリリースノートに明記されていません。

  HTTPリセットコードのデフォルトが NO_ERROR から INTERNAL_ERROR に変更されました。

• breaking上流プロトコルエラーのリセット処理変更

  適用対象はリリースノートに明記されていません。

  デフォルトで、上流プロトコルエラーをリセット処理の対象から除外する動作に変わりました。

事前準備 (1)

• deprecatedOpenTelemetryアクセスログの common_config 非推奨化

  common_configを設定している場合に適用されます。

  OpenTelemetryアクセスログの common_config フィールドが非推奨になり、明示的な http_service または grpc_service の設定が推奨されます。