# Envoy v1.37.6

> Networking & Messaging · 2026-08-26

セキュリティ修正を中心とするメンテナンスリリースです。HTTP処理と拡張フィルターの正確性に関する修正も含まれます。

## 影響確認
- **[security]** パスセグメント単位のパラメーター除去
  - URLの正規化が実行される場合に適用されます。
  - `url normalization`で、RFC 3986 section 3.3に従い、各パスセグメントからパスパラメーターを除去するよう修正されました。`envoy.reloadable_features.strip_path_parameters_per_segment`で元の動作に戻せます。
- **[security]** HTTP/3フレーム処理の解放済みメモリ使用修正
  - `http3`が実行される場合に適用されます。
  - `http3`で、特定のタイミングで受信したHTTP/3フレーム列による解放済みメモリの使用が修正されました。
- **[security]** HTTP/2トレーラー処理の異常終了修正
  - `http2`が実行される場合に適用されます。
  - `http2`で、`END_STREAM`フラグのないトレーラーを受信した際の異常終了が修正されました。
- **[security]** 管理画面の統計名サニタイズ
  - `admin`が実行され、`envoy.reloadable_features.sanitize_html_stats_names`が有効な場合に適用されます。
  - `admin`で、統計名をHTMLに変換する前にサニタイズするよう修正されました。この動作は`envoy.reloadable_features.sanitize_html_stats_names`で制御されます。
- **[security]** URIパスのないリクエストの異常終了修正
  - `ext_authz`が実行される場合に適用されます。
  - `ext_authz`で、URIパスのないリクエスト、つまりCONNECTリクエストを処理した際の異常終了が修正されました。
- **[security]** 汎用HTTPアップグレード前のペイロード処理
  - `http`が実行され、汎用HTTPアップグレードを使用する場合に適用されます。
  - `http`で、汎用HTTPアップグレードの受け入れ前に送られたペイロードがパイプライン化されたHTTP/1リクエストとして解釈され、共有アップストリーム接続を汚染する問題が修正されました。`envoy.reloadable_features.http_pause_generic_upgrade_request_body`で元の動作に戻せます。
- **[security]** QUICのスコープ付きIPv6アドレス処理
  - `quic`が実行される場合に適用されます。
  - `quic`で、QUICクライアント接続およびOriginal Dstクラスターにおけるスコープ付きIPv6アドレスの処理時のクラッシュが修正されました。
- **[security]** 破棄したHostヘッダーのサイズ計上
  - `http2`が実行される場合に適用されます。
  - `http2`で、破棄した`Host`ヘッダーのサイズをリクエストヘッダーマップのサイズ上限と個数上限に含めるよう修正されました。`envoy.reloadable_features.http2_track_size_of_dropped_host_header`で元の動作に戻せます。
- **[security]** ドットセグメントのパスパラメーター処理
  - `normalize_path`が有効な場合に適用されます。
  - `url normalization`で、ドットセグメントとドットドットセグメント（`/.;`、`/..;`）からパスパラメーターを除去し、正規化時に正しく解釈するよう修正されました。`envoy.reloadable_features.strip_dotdot_segments_with_parameters`で元の動作に戻せます。
- **[security]** `safe_regex`の文字セットモード変更
  - `safe_regex`が実行される場合に適用されます。
  - `safe_regex`の文字セットモードをUTF-8からLatin1に変更しました。HTTPヘッダーがUTF-8エンコードではないことに合わせた修正です。`envoy.reloadable_features.re2_use_latin1_mode`で元の動作に戻せます。
- **[security]** RBACパス照合でのパラメーター設定反映
  - `rbac`が実行され、ルートで`ignore_path_parameters_in_path_matching`が設定されている場合に適用されます。
  - `rbac`のパス照合が、ルートに設定された`ignore_path_parameters_in_path_matching`を反映するよう修正されました。追加されたパスパラメーターによる認可の回避を防ぎます。`envoy.reloadable_features.rbac_respect_ignore_path_parameters`で元の動作に戻せます。
- **[security]** HTTP経由の`ext_authz`における解放済みメモリ使用修正
  - `ext_authz`が実行され、HTTPを使用する場合に適用されます。
  - HTTP経由の`ext_authz`でリクエストを拒否した際に発生する、解放済みメモリの使用が修正されました。
- **[security]** ALPN選択時のHTTP/3異常終了修正
  - `http3`が実行される場合に適用されます。
  - `http3`で、ALPNによってアップストリームプロトコルを選択し、サーバーがHTTP/3を使用する場合の異常終了が修正されました。

## その他の記録された変更
- 4 (defect_corrected 4)

[分析の詳細](https://ratatosk.io/ja/releases/envoy/v1.37.6)

[元のリリースノート](https://github.com/envoyproxy/envoy/releases/tag/v1.37.6)