# Envoy v1.37.7

> Networking & Messaging · 2026-10-01

이번 릴리스는 `BoringSSL`의 TLS 핸드셰이크 관련 원격 서비스 거부 문제를 수정하고 Debian bullseye (11) 패키징을 제거한 유지보수 릴리스입니다. `BoringSSL` FIPS 빌드에는 해당 보안 수정이 적용되지 않습니다.

## 조치 필요
- **[breaking]** Debian bullseye (11) 패키징 제거
  - 수명이 끝나 주 Debian 미러에서 저장소를 더 이상 제공하지 않는 Debian bullseye (11) 패키징을 제거했습니다.

## 영향 확인
- **[security · medium]** `BoringSSL` 인증서 파싱 중 과도한 메모리 할당 수정
  - `BoringSSL` FIPS 빌드(`--define boringssl=fips`)를 사용하지 않는 경우에 적용됩니다.
  - `CVE-2026-35189`에 대응해 `BoringSSL`이 `nameRelativeToCRLIssuer` CRL Distribution Points가 포함된 인증서를 파싱할 때 메모리를 과도하게 할당하던 문제를 수정했습니다. 이 문제는 TLS 핸드셰이크 중 원격 서비스 거부 공격에 악용될 수 있었습니다.

[분석 자세히 보기](https://ratatosk.io/ko/releases/envoy/v1.37.7)

[원본 릴리스 노트](https://github.com/envoyproxy/envoy/releases/tag/v1.37.7)