# Envoy v1.37.6

> Networking & Messaging · 2026-08-26

보안에 초점을 둔 유지보수 릴리스로, Envoy에서 설명된 여러 보안 문제를 바로잡았습니다. HTTP 처리와 확장 필터의 올바른 동작을 고치는 수정도 포함합니다.

## 영향 확인
- **[security]** 경로 구간별 매개변수 제거
  - `url normalization`이 실행될 때 적용됩니다.
  - URL 정규화에서 RFC 3986 3.3절에 맞춰 각 경로 구간의 경로 매개변수를 제거합니다. `envoy.reloadable_features.strip_path_parameters_per_segment`로 되돌릴 수 있습니다.
- **[security]** HTTP/3 프레임 처리 중 UAF 수정
  - `http3`이 실행될 때 적용됩니다.
  - 특정 순서로 도착한 HTTP/3 프레임을 처리할 때 발생하던 UAF를 수정했습니다.
- **[security]** HTTP/2 트레일러 처리 수정
  - `http2`가 실행될 때 적용됩니다.
  - `END_STREAM` 플래그 없이 도착한 트레일러로 프로세스가 비정상 종료되던 문제를 수정했습니다.
- **[security]** HTML 변환 전 통계 이름 정제
  - `admin`이 실행되고 `envoy.reloadable_features.sanitize_html_stats_names`가 활성화된 경우 적용됩니다.
  - 통계 이름을 HTML로 변환하기 전에 정제합니다. 이 동작은 `envoy.reloadable_features.sanitize_html_stats_names`으로 제어됩니다.
- **[security]** 경로 없는 요청 처리 수정
  - `ext_authz`가 실행될 때 적용됩니다.
  - URI 경로가 없는 요청, 즉 CONNECT 요청을 처리할 때 프로세스가 비정상 종료되던 문제를 수정했습니다.
- **[security]** 일반 HTTP 업그레이드 본문 처리 수정
  - `http`가 실행되고 일반 `HTTP` 업그레이드를 사용할 때 적용됩니다.
  - 일반 HTTP 업그레이드가 승인되기 전에 전송된 본문을 파이프라인 HTTP/1 요청으로 잘못 해석해 공유 업스트림 연결을 오염시키던 문제를 수정했습니다. `envoy.reloadable_features.http_pause_generic_upgrade_request_body`로 되돌릴 수 있습니다.
- **[security]** QUIC IPv6 주소 처리 충돌 수정
  - `quic`이 실행될 때 적용됩니다.
  - QUIC 클라이언트 연결과 Original Dst 클러스터에서 범위가 지정된 IPv6 주소를 처리할 때 발생하던 충돌을 수정했습니다.
- **[security]** 삭제된 Host 헤더의 제한 계산 반영
  - `http2`가 실행될 때 적용됩니다.
  - 삭제된 `Host` 헤더도 이제 요청 헤더 맵의 크기 및 개수 제한에 포함됩니다. `envoy.reloadable_features.http2_track_size_of_dropped_host_header`로 되돌릴 수 있습니다.
- **[security]** 점 구간 경로 매개변수 정규화
  - `normalize_path`가 활성화된 경우 적용됩니다.
  - 점 및 점점 구간의 경로 매개변수(`/.;`, `/..;`)를 제거해 정규화 과정에서 올바르게 해석합니다. `envoy.reloadable_features.strip_dotdot_segments_with_parameters`로 되돌릴 수 있습니다.
- **[security]** `safe_regex` 문자 집합 모드 변경
  - `safe_regex`가 실행될 때 적용됩니다.
  - HTTP 헤더가 UTF-8로 인코딩되지 않는 점에 맞춰 `safe_regex`의 문자 집합 모드를 UTF-8에서 Latin1로 변경했습니다. `envoy.reloadable_features.re2_use_latin1_mode`로 되돌릴 수 있습니다.
- **[security]** RBAC 경로 일치와 경로 설정 연동
  - `rbac`가 실행되고 경로에 `ignore_path_parameters_in_path_matching`이 설정된 경우 적용됩니다.
  - RBAC 경로 일치가 경로의 `ignore_path_parameters_in_path_matching` 설정을 따르도록 수정해, 경로 매개변수를 덧붙여 인증 인가를 우회하는 문제를 막습니다. `envoy.reloadable_features.rbac_respect_ignore_path_parameters`로 되돌릴 수 있습니다.
- **[security]** HTTP `ext_authz` 요청 거부 처리 수정
  - `ext_authz`가 실행되고 HTTP를 사용할 때 적용됩니다.
  - HTTP를 사용하는 `ext_authz`에서 요청이 거부될 때 발생하던 UAF를 수정했습니다.
- **[security]** HTTP/3 ALPN 처리 수정
  - `http3`이 실행될 때 적용됩니다.
  - ALPN으로 업스트림 프로토콜을 선택하고 서버가 HTTP/3를 사용할 때 프로세스가 비정상 종료되던 문제를 수정했습니다.

## 그 밖에 기록된 변경
- 4 (defect_corrected 4)

[분석 자세히 보기](https://ratatosk.io/ko/releases/envoy/v1.37.6)

[원본 릴리스 노트](https://github.com/envoyproxy/envoy/releases/tag/v1.37.6)