リリース

影響確認 (2)

• breakingenvoy.network.connection_balance.dlb の削除

  envoy.network.connection_balance.dlb を使用している場合に適用されます。

  ソースアーカイブの問題を受け、Intel DLB接続バランサーである envoy.network.connection_balance.dlb を、すべてのビルドとプラットフォームでBazelレイヤーから無効にしました。

• breakingTLS証明書圧縮の既定値変更

  envoy.reloadable_features.tls_certificate_compression_brotli を設定していない場合に適用されます。

  envoy.reloadable_features.tls_certificate_compression_brotli のランタイムガードを、既定で無効にしました。

影響確認 (16)

• securityhighREQUESTED_SERVER_NAME設定時のクラッシュ修正

  REQUESTED_SERVER_NAMEを設定している場合に該当します。

  CVE-2026-47220（GHSA-j9wh-4qfm-wf2v）に対応し、REQUESTED_SERVER_NAME の設定時に発生するクラッシュを修正しました。

• securityhighzstd RLE zip bombの修正

  zstdに依存している場合に該当します。

  CVE-2026-48044（GHSA-m3p9-47wh-88wg）に対応し、zstdのRLE zip bombを修正しました。

• securityhigh深くネストしたJSONのスタックオーバーフロー修正

  JSONを使用している場合に該当します。

  CVE-2026-48042（GHSA-f24p-rxw2-g6pv）に対応し、深くネストしたJSONのデストラクターで発生するスタックオーバーフローを修正しました。

• リリースページにあと 13 件

影響確認 (15)

• securityhighzstd の RLE zip bomb 対策

  zstd を使用している場合に適用されます。

  zstd の RLE zip bomb に関する問題を修正しました。CVE-2026-48044 に対応しています。

• securityhighHTTP/3 から HTTP/1 へのリクエストスマグリング修正

  HTTP/3 と HTTP/1 を使用している場合に適用されます。

  HTTP/3 から HTTP/1 へのリクエストで、Content-Length が0以外のヘッダーのみのリクエストを使ったリクエストスマグリングを修正しました。CVE-2026-48743 に対応しています。

• securityhighcom_github_wasmtime の更新

  wasm を使用している場合に適用されます。

  wasm の依存関係 com_github_wasmtime を更新し、CVE-2026-47261 に対応しました。

• リリースページにあと 12 件

影響確認 (14)

• securityhighzstd RLE zip bombの問題を修正

  zstd を使用している場合に該当します。

  zstd のRLE zip bombに関する問題を修正しました。CVE-2026-48044 および GHSA-m3p9-47wh-88wg に対応しています。

• securityhighHTTP/3 のコンテンツ長検証を修正

  HTTP/3 を使用している場合に該当します。

  HTTP/3 のヘッダーだけで構成されたリクエストとレスポンスで、コンテンツ長が検証されない問題を修正しました。CVE-2026-48743 および GHSA-8phg-2h2q-jgxf に対応しています。

• securityhighwasmのcom_github_wasmtimeを更新

  wasm を使用している場合に該当します。

  wasmで使用するcom_github_wasmtimeを更新し、CVE-2026-47261 に対応しました。

• リリースページにあと 11 件

影響確認 (4)

• securityhighHTTP/2ヘッダー制限へのCookie計上

  HTTP/2を使用しており、envoy.reloadable_features.http2_include_cookies_in_limitsを有効にしていない場合に適用されます。

  設定した最大ヘッダーリストサイズに違反したHTTP/2ストリームをリセットするようになりました。非圧縮Cookieも mutable_max_request_headers_kb と max_headers_count の制限に加わり、HPACK cookie-bombによる過剰なメモリ使用を防ぎます。envoy.reloadable_features.http2_include_cookies_in_limits で従来の動作に戻せます。

• securityoauth2のHMAC検証におけるタイミングサイドチャネル修正

  oauth2を使用している場合に適用されます。

  oauth2 のHMAC検証にあったタイミングサイドチャネルを修正しました。HMAC秘密情報が有効かどうか漏えいする可能性があった問題です。

• breakingHTTPレスポンスボディからの上流失敗理由の除外

  routerを使用しており、envoy.reloadable_features.hide_transport_failure_reason_in_response_bodyを有効にしていない場合に適用されます。

  router が下流クライアントへ返すHTTPレスポンスボディに、上流トランスポートの失敗理由を含めなくなりました。失敗理由はアクセスログの %UPSTREAM_TRANSPORT_FAILURE_REASON% で引き続き確認できます。envoy.reloadable_features.hide_transport_failure_reason_in_response_body で従来の動作に戻せます。

• リリースページにあと 1 件

影響確認 (2)

• securityhighHTTP/2ヘッダー制限とCookieのメモリ使用対策

  HTTP/2を使用している場合に適用されます。

  HTTP/2ストリームが設定された最大ヘッダーリストサイズに違反するとリセットされます。非圧縮Cookieも mutable_max_request_headers_kb と max_headers_count の制限対象になり、HPACK cookie-bombによる過剰なメモリ使用を防ぎます。CVE-2026-47774 と GHSA-22m2-hvr2-xqc8 に対応しています。

• securityoauth2のHMAC検証におけるタイミングサイドチャネルの修正

  oauth2を使用している場合に適用されます。

  oauth2 のHMAC検証にあったタイミングサイドチャネルが修正され、HMACシークレットの有効性が漏えいする可能性を抑えます。

影響確認 (2)

• securityhighHTTP/2のヘッダー上限処理の変更

  HTTP/2でヘッダーリストまたはリクエストヘッダーの上限を設定している場合に適用されます。

  設定した最大ヘッダーリストサイズに違反するHTTP/2ストリームをリセットするようになりました。圧縮されていないCookieもmutable_max_request_headers_kbとmax_headers_countの上限に算入され、HPACKによるCookie爆弾で過剰なメモリ使用が生じる問題を防ぎます。

• securityoauth2のHMAC検証におけるタイミングサイドチャネル修正

  OAuth2フィルターを使用している場合に適用されます。

  oauth2フィルターのHMAC検証にあったタイミングサイドチャネルを修正しました。これにより、HMACシークレットの有効性が漏れる可能性が抑えられます。

影響確認 (2)

• securityhighHTTP/2ヘッダー上限違反時のストリームリセット

  HTTP/2のリクエストヘッダー上限を使用している場合に適用されます。

  http2ストリームが設定済みの最大ヘッダーリストサイズに違反した場合、リセットされるようになりました。非圧縮Cookieもmutable_max_request_headers_kbとmax_headers_countの上限に算入されます。動作はenvoy.reloadable_features.http2_include_cookies_in_limitsで元に戻せます。CVE-2026-47774（GHSA-22m2-hvr2-xqc8）への対応です。

• securityOAuth2 HMAC検証のタイミングサイドチャネル修正

  OAuth2のHMAC検証を使用している場合に適用されます。

  oauth2のHMAC検証にあるタイミングサイドチャネルを修正しました。これにより、HMACシークレットが有効かどうかの情報が漏れる問題に対処しています。