# Envoy v1.37.7

> Networking & Messaging · 2026-10-01

保守更新として、TLS処理のセキュリティ修正とパッケージ対応の整理が行われています。`BoringSSL` の FIPS ビルドはセキュリティ修正の対象外です。

## 要対応
- **[breaking]** Debian bullseye（11）向けパッケージを削除
  - Debian bullseye（11）はサポート終了となり、主要な Debian ミラーでリポジトリを利用できなくなったため、Debian bullseye（11）向けのパッケージを削除しました。

## 影響確認
- **[security · medium]** `BoringSSL` の証明書解析における過剰なメモリ確保を修正
  - `BoringSSL` の FIPS ビルド（`--define boringssl=fips`）を使用していない場合に適用されます。
  - `CVE-2026-35189` に対応し、`nameRelativeToCRLIssuer` を含む CRL Distribution Points の証明書解析で過剰にメモリを確保する `BoringSSL` の問題を修正しました。TLS ハンドシェイク中のリモートからのサービス拒否攻撃につながる可能性があります。`BoringSSL` の FIPS ビルド（`--define boringssl=fips`）にはこの修正は適用されません。

[分析の詳細](https://ratatosk.io/ja/releases/envoy/v1.37.7)

[元のリリースノート](https://github.com/envoyproxy/envoy/releases/tag/v1.37.7)