Envoy
v1.37.7Networking & Messaging2026년 10월 1일
이번 릴리스는 `BoringSSL`의 TLS 핸드셰이크 관련 원격 서비스 거부 문제를 수정하고 Debian bullseye (11) 패키징을 제거한 유지보수 릴리스입니다. `BoringSSL` FIPS 빌드에는 해당 보안 수정이 적용되지 않습니다.
조치 필요 (1)
breakingDebian bullseye (11) 패키징 제거
수명이 끝나 주 Debian 미러에서 저장소를 더 이상 제공하지 않는 Debian bullseye (11) 패키징을 제거했습니다.
영향 확인 (1)
securitymedium
BoringSSL인증서 파싱 중 과도한 메모리 할당 수정BoringSSLFIPS 빌드(--define boringssl=fips)를 사용하지 않는 경우에 적용됩니다.CVE-2026-35189에 대응해
BoringSSL이nameRelativeToCRLIssuerCRL Distribution Points가 포함된 인증서를 파싱할 때 메모리를 과도하게 할당하던 문제를 수정했습니다. 이 문제는 TLS 핸드셰이크 중 원격 서비스 거부 공격에 악용될 수 있었습니다.
Envoy 스택에 추가
조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치와 브레이킹 체인지 같은 것들입니다.