リリース — RATATOSK

Envoyv1.39.0Networking & Messaging2026年7月14日

運用者向けの挙動、設定、セキュリティ、プロトコル、拡張、ネットワーク、可観測性に関する変更を含みます。識別されたCVEおよびGHSAに対応する修正があり、早期のアップグレードが必要な内容です。既定値、受け付ける入力、利用できる機能が変わる互換性上の変更も含まれます。

影響確認 (11)

securityhighHTTP/2のヘッダー制限と大量送信対策の変更
HTTP/2を使用している場合に適用されます。
HTTP/2では、展開前のCookieがヘッダーサイズとヘッダー数の制限に加算されるようになりました（CVE-2026-47774）。あわせて、PRIORITYとWINDOW_UPDATEの大量送信対策が強化され、nghttp2のRST_STREAMレート制限を設定できるようになりました。
securityhighHTTP/3のQPACKとcontent-length処理の修正
HTTP/3を使用している場合に適用されます。
HTTP/3で、QPACKのデコード待ちによるサービス拒否（GHSA-p7c7-7c47-pwch）と、ヘッダーのみのcontent-length処理の不整合（CVE-2026-48743）を修正しました。
securityhigh各種入力処理と解凍処理のセキュリティ修正
DNSクエリ検証、JSONネスト制限、PROXY protocol TLV、フォーマッター、TCP StatsD、TLS SAN、またはZstd解凍を使用している場合に適用されます。
DNSクエリ検証（CVE-2026-48497）、JSONネスト制限（CVE-2026-48042）、PROXY protocol TLVのスマグリング（CVE-2026-47692）、フォーマッターのクラッシュ（CVE-2026-47220）、TCP StatsDのオーバーフロー（CVE-2026-48706）、TLS SANのNUL処理（CVE-2026-47778）、Zstd解凍によるメモリ枯渇（CVE-2026-48044）を修正しました。
リリースページにあと 8 件