リリース

CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。

緊急度

性格

カテゴリ

2026年3月解除 ×プロジェクト: Envoy解除 ×

Envoyv1.37.1Networking & Messaging2026年3月11日

アップグレードを要するセキュリティ修正が含まれています。通常の不具合修正に加え、公開アーティファクトと動的モジュールの互換性に関する変更もあります。

要対応 (3)

securitymediumスコープ付き IPv6 アドレスのクラッシュ修正
スコープ付き IPv6 アドレスで getAddressWithPort() が呼び出された際のクラッシュを修正しました。対象の識別子は CVE-2026-26310 と GHSA-3cw6-2j68-868p です。
securitymediumJSON の文字列終端処理の修正
境界を 1 つ超えて書き込む処理を修正し、文字列の null 終端文字が破損する問題に対応しました。対象の識別子は CVE-2026-26309 と GHSA-56cj-wgg3-x943 です。
securitymedium下流側リセット後の decode* メソッド実行制御
下流側でリセットされた後に decode* メソッドが実行されないよう修正しました。対象の識別子は CVE-2026-26311 と GHSA-84xm-r438-86px です。

影響確認 (2)

securityhighrbac の複数値ヘッダーによるバイパス修正
rbac サブシステムを使用している場合に適用されます。
複数値ヘッダーによる認可バイパスを rbac で修正しました。対象の識別子は CVE-2026-26308 と GHSA-ghc4-35x6-crw5 です。
securitymediumレスポンスフェーズの制限処理におけるクラッシュ修正
ratelimit サブシステムを使用している場合に適用されます。
レスポンスフェーズの制限処理でクラッシュする不具合を修正しました。対象の識別子は CVE-2026-26330 と GHSA-c23c-rp3m-vpg3 です。

Envoyv1.36.5Networking & Messaging2026年3月11日

アップグレード対応が必要なセキュリティ修正に加え、通常のバグ修正と依存関係およびイメージの更新を含みます。残りの項目は見出しのみで、運用者向けの変更内容は記載されていません。

要対応 (3)

securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正
CVE-2026-26310（GHSA-3cw6-2j68-868p）に対応し、スコープ付きIPv6アドレスを渡して getAddressWithPort() を呼び出した際のクラッシュを修正しました。
securitymediumjson のオフバイワン書き込み修正
CVE-2026-26309（GHSA-56cj-wgg3-x943）に対応し、文字列のnull終端を破損させる可能性があったオフバイワン書き込みを json で修正しました。
securitymedium下流リセット後の decode* メソッド実行防止
CVE-2026-26311（GHSA-84xm-r438-86px）に対応し、下流リセット後に decode* メソッドが実行されないよう修正しました。

影響確認 (2)

securityhighrbac の複数値ヘッダーバイパス修正
rbac を使用している場合に適用されます。
CVE-2026-26308（GHSA-ghc4-35x6-crw5）に対応し、rbac で複数値ヘッダーを使ったバイパスが発生する問題を修正しました。
securitymediumratelimit のレスポンスフェーズにおけるクラッシュ修正
ratelimit を使用している場合に適用されます。
CVE-2026-26330（GHSA-c23c-rp3m-vpg3）に対応し、ratelimit のレスポンスフェーズで制限処理がクラッシュする不具合を修正しました。

月別に見る