릴리스

영향 확인 (2)

• breakingenvoy.network.connection_balance.dlb 확장 기능 제거

  envoy.network.connection_balance.dlb을 사용하는 경우에 해당합니다.

  소스 아카이브 문제로 envoy.network.connection_balance.dlb 확장 기능을 Bazel 단계에서 모든 빌드와 플랫폼에 대해 비활성화했습니다.

• breakingTLS 인증서 Brotli 압축 기본값 변경

  envoy.reloadable_features.tls_certificate_compression_brotli을 따로 설정하지 않는 경우에 해당합니다.

  envoy.reloadable_features.tls_certificate_compression_brotli 런타임 보호 기능의 기본값을 비활성화했습니다.

영향 확인 (16)

• securityhighREQUESTED_SERVER_NAME 처리 충돌 수정

  REQUESTED_SERVER_NAME을 설정하는 경우에 적용됩니다.

  REQUESTED_SERVER_NAME 처리 중 발생하는 충돌을 수정했습니다. 관련 보안 권고는 CVE-2026-47220과 GHSA-j9wh-4qfm-wf2v입니다.

• securityhighzstd RLE 압축 폭탄 처리 수정

  zstd에 의존하는 경우에 적용됩니다.

  zstd의 RLE 압축 폭탄 문제를 수정했습니다. 관련 보안 권고는 CVE-2026-48044와 GHSA-m3p9-47wh-88wg입니다.

• securityhigh중첩된 JSON 소멸자의 스택 오버플로 수정

  JSON을 사용하는 경우에 적용됩니다.

  중첩 수준이 높은 JSON의 소멸자에서 스택 오버플로가 발생하는 문제를 수정했습니다. 관련 보안 권고는 CVE-2026-48042와 GHSA-f24p-rxw2-g6pv입니다.

• 릴리스 페이지에 13건 더

영향 확인 (15)

• securityhighzstd RLE 압축 폭탄 문제 수정

  zstd를 사용하는 경우 적용됩니다.

  zstd에서 발생할 수 있는 RLE 압축 폭탄 문제를 수정했습니다. 관련 권고는 CVE-2026-48044와 GHSA-m3p9-47wh-88wg입니다.

• securityhighHTTP/3에서 HTTP/1로 이어지는 요청 밀수 수정

  HTTP/3와 HTTP/1을 사용하는 경우 적용됩니다.

  헤더만 있는 요청에 0이 아닌 Content-Length가 포함될 때 HTTP/3에서 HTTP/1로 전달되는 요청 밀수 문제를 수정했습니다. 관련 권고는 CVE-2026-48743과 GHSA-8phg-2h2q-jgxf입니다.

• securityhighcom_github_wasmtime 의존성 갱신

  wasm을 사용하는 경우 적용됩니다.

  wasm의 com_github_wasmtime 의존성을 올려 CVE-2026-47261을 해결했습니다.

• 릴리스 페이지에 12건 더

영향 확인 (14)

• securityhighzstd RLE 압축 폭탄 처리 수정

  zstd를 사용하는 경우에 적용됩니다.

  zstd의 RLE 압축 폭탄 처리 문제를 수정했습니다. 관련 권고는 CVE-2026-48044와 GHSA-m3p9-47wh-88wg입니다.

• securityhighHTTP/3 헤더 전용 요청 및 응답의 콘텐츠 길이 검증 수정

  HTTP/3를 사용하는 경우에 적용됩니다.

  HTTP/3 헤더만 있는 요청과 응답에서 콘텐츠 길이를 검증하지 않던 문제를 수정했습니다. 관련 권고는 CVE-2026-48743과 GHSA-8phg-2h2q-jgxf입니다.

• securityhighcom_github_wasmtime 의존성 갱신

  wasm을 사용하는 경우에 적용됩니다.

  wasm에서 com_github_wasmtime을 갱신해 CVE-2026-47261을 해결했습니다.

• 릴리스 페이지에 11건 더

영향 확인 (4)

• securityhighHTTP/2 헤더 및 쿠키 크기 제한 적용

  HTTP/2를 사용하면서 envoy.reloadable_features.http2_include_cookies_in_limits를 활성화하지 않은 경우에 적용됩니다.

  HTTP/2 스트림이 설정된 최대 헤더 목록 크기를 초과하면 초기화됩니다. 압축되지 않은 쿠키도 mutable_max_request_headers_kb 및 max_headers_count 제한에 포함되어, 과도한 메모리 사용을 일으킬 수 있는 HPACK 쿠키 폭탄을 막습니다. 이 동작은 envoy.reloadable_features.http2_include_cookies_in_limits로 되돌릴 수 있습니다. 관련 권고 식별자는 CVE-2026-47774와 GHSA-22m2-hvr2-xqc8입니다.

• securityOAuth2 HMAC 검증 타이밍 사이드 채널 수정

  oauth2를 사용하는 경우에 적용됩니다.

  oauth2의 HMAC 검증에서 HMAC 비밀값의 유효성이 유출될 수 있는 타이밍 사이드 채널을 수정했습니다.

• breakingHTTP 응답 본문에서 업스트림 전송 실패 원인 제거

  라우터를 사용하면서 envoy.reloadable_features.hide_transport_failure_reason_in_response_body를 활성화하지 않은 경우에 적용됩니다.

  업스트림 전송 실패 원인을 다운스트림 클라이언트에 보내는 HTTP 응답 본문에 더 이상 포함하지 않습니다. 해당 원인은 액세스 로그의 %UPSTREAM_TRANSPORT_FAILURE_REASON%에서 계속 확인할 수 있습니다. 기존 동작은 envoy.reloadable_features.hide_transport_failure_reason_in_response_body로 되돌릴 수 있습니다.

• 릴리스 페이지에 1건 더

영향 확인 (2)

• securityhighHTTP/2 헤더 목록 크기 제한과 쿠키 계수 수정

  HTTP/2를 사용하는 경우에 적용됩니다.

  HTTP/2 스트림이 설정된 최대 헤더 목록 크기를 초과하면 재설정됩니다. 압축되지 않은 쿠키도 mutable_max_request_headers_kb 및 max_headers_count 제한에 포함되어, 과도한 메모리 사용을 일으킬 수 있는 HPACK 쿠키 폭탄을 막습니다.

• securityoauth2 HMAC 검증 타이밍 부채널 수정

  oauth2를 사용하는 경우에 적용됩니다.

  oauth2의 HMAC 검증에서 타이밍 부채널을 수정했습니다. 이 부채널로 HMAC 비밀값의 유효성이 노출될 수 있었습니다.

영향 확인 (2)

• securityhighhttp2 헤더 제한 적용 방식 변경

  HTTP/2에서 헤더 목록 또는 요청 헤더 제한을 설정해 사용하는 경우에 적용됩니다.

  http2 스트림이 설정된 최대 헤더 목록 크기를 초과하면 재설정됩니다. 압축되지 않은 쿠키도 mutable_max_request_headers_kb와 max_headers_count 제한에 포함되어, HPACK 쿠키 폭탄으로 메모리가 과도하게 사용되는 상황을 막습니다.

• securityoauth2 HMAC 검증 타이밍 사이드 채널 수정

  oauth2 필터를 사용하는 경우에 적용됩니다.

  oauth2 필터의 HMAC 검증에서 비밀 값의 유효성이 노출될 수 있던 타이밍 사이드 채널을 수정했습니다.

영향 확인 (2)

• securityhighHTTP/2 요청 헤더 제한 위반 처리와 쿠키 집계 변경

  HTTP/2 요청 헤더 제한을 사용하는 경우 적용됩니다.

  http2 스트림이 설정된 최대 헤더 목록 크기를 넘기면 재설정됩니다. 압축되지 않은 쿠키도 mutable_max_request_headers_kb와 max_headers_count 제한에 포함되며, 이 동작은 envoy.reloadable_features.http2_include_cookies_in_limits로 되돌릴 수 있습니다.

• securityOAuth2 HMAC 검증 타이밍 사이드 채널 수정

  OAuth2 HMAC 검증을 사용하는 경우 적용됩니다.

  oauth2 HMAC 검증에서 HMAC 비밀 값의 유효성이 노출될 수 있던 타이밍 사이드 채널을 수정했습니다.

영향 확인 (6)

• security쿼리 매개변수 값 URL 인코딩

  query_parameter_mutations를 설정하는 경우에 적용됩니다.

  query_parameter_mutations로 추가하는 쿼리 매개변수 값이 인젝션을 막도록 URL 인코딩됩니다.

• securityRBAC 연결 방식 우회 방지

  RBAC가 실행되는 경우에 적용됩니다.

  RBAC에서 문자열 연결 방식으로 우회할 수 있는 문제가 수정되었습니다.

• breakingmax_early_data_bytes 설정 검증 강화

  upstream_connect_mode을 IMMEDIATE가 아닌 값으로 설정하고 max_early_data_bytes를 설정하지 않은 경우에 적용됩니다.

  upstream_connect_mode이 IMMEDIATE가 아닌 값이면 max_early_data_bytes를 명시해야 하며, 설정이 없으면 시작 시 검증에 실패합니다.

• 릴리스 페이지에 3건 더

미리 준비 (1)

• deprecatedenforce_rsa_key_usage 옵션 사용 중단제거 시점 미정

  enforce_rsa_key_usage를 설정하는 경우에 적용됩니다.

  enforce_rsa_key_usage 옵션은 다음 릴리스에서 제거될 예정입니다.

영향 확인 (2)

• securityhighrbac 다중 값 헤더 우회 수정

  rbac 하위 시스템을 사용하는 경우에 적용됩니다.

  rbac에서 다중 값 헤더로 접근 제어를 우회할 수 있던 문제를 수정했습니다. 이 수정은 CVE-2026-26308 및 GHSA-ghc4-35x6-crw5와 관련됩니다.

• securitymediumratelimit 응답 단계 제한 처리 충돌 수정

  ratelimit 하위 시스템을 사용하는 경우에 적용됩니다.

  ratelimit에서 응답 단계의 제한 처리로 충돌이 발생하던 버그를 수정했습니다. 이 수정은 CVE-2026-26330 및 GHSA-c23c-rp3m-vpg3와 관련됩니다.

영향 확인 (2)

• securityhighrbac 다중 값 헤더 우회 수정

  rbac을 사용하는 경우에 적용됩니다.

  CVE-2026-26308 (GHSA-ghc4-35x6-crw5)와 관련해 rbac에서 여러 값이 있는 헤더를 우회할 수 있던 문제를 수정했습니다.

• securitymediumratelimit 응답 단계 충돌 수정

  ratelimit을 사용하는 경우에 적용됩니다.

  CVE-2026-26330 (GHSA-c23c-rp3m-vpg3)와 관련해 ratelimit의 응답 단계 제한 처리에서 충돌이 발생하던 버그를 수정했습니다.

영향 확인 (2)

• breakingHTTP 리셋 코드 기본값 변경

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

  HTTP 리셋 코드의 기본값이 NO_ERROR에서 INTERNAL_ERROR로 변경됐습니다.

• breaking업스트림 프로토콜 오류 처리 방식 변경

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

  리셋 동작이 기본적으로 업스트림 프로토콜 오류를 무시하도록 변경됐습니다.

미리 준비 (1)

• deprecatedOpenTelemetry 액세스 로그 common_config 필드 폐기

  common_config을 구성한 경우 적용됩니다.

  OpenTelemetry 액세스 로그의 common_config 필드를 더 이상 사용하지 않으며, 명시적인 http_service 또는 grpc_service 구성으로 대체합니다.