リリース

影響確認 (2)

• securityhighHTTPProxy の cookieRewritePolicies[].pathRewrite.value によるコード実行脆弱性の修正

  HTTPProxy リソースを使用している場合に該当します。

  RBAC権限を持つ攻撃者が、HTTPProxy リソースの作成または変更時に悪意のある cookieRewritePolicies[].pathRewrite.value を指定すると、Envoyプロキシ上で任意のコードを実行できる問題を修正しました。対象は CVE-2026-41246 および GHSA-x4mj-7f9g-29h4 です。

• breakingEnvoy 1.35.0以降への対応

  Envoy に依存している場合に適用されます。

  このリリースでは、Envoy 1.35.0以降が必要です。

要対応 (2)

• securitycriticalgoogle.golang.org/grpcをv1.79.3へ更新

  google.golang.org/grpcをv1.79.3へ更新しました。この更新はCVE-2026-33186（GHSA-p77j-4mvh-x3m3）に対応しますが、Contourは影響を受けません。

• securityEnvoyをv1.35.9へ更新

  セキュリティ脆弱性への対応として、Envoyをv1.35.9へ更新しました。

要対応 (2)

• securitycriticalgoogle.golang.org/grpcをv1.79.3に更新

  google.golang.org/grpcをv1.79.3に更新します。この更新はCVE-2026-33186に対処していますが、Contourは影響を受けません。

• securityEnvoyをv1.34.13に更新

  Envoyをv1.34.13に更新し、セキュリティ上の脆弱性に対処するとともに安定性を改善します。

要対応 (2)

• securitycriticalgoogle.golang.org/grpcのv1.79.3への更新

  google.golang.org/grpcをv1.79.3へ更新します。この更新にはCVE-2026-33186への対応が含まれますが、Contourは影響を受けません。

• securityEnvoyのv1.34.13への更新

  Envoyをv1.34.13へ更新します。