# Envoy v1.37.8

> Networking & Messaging · 2026-10-06

セキュリティ保守として、Envoyフィルターでクラッシュにつながる脆弱性を修正しています。`oauth2`フィルターでは、`:path`ヘッダーのないリクエストを`400`で拒否する動作になりました。

## 影響確認
- **[security]** `oauth2`フィルターのクラッシュ修正
  - `oauth2`フィルターが`:path`ヘッダーのないリクエストを受け取る場合に適用されます。
  - `GHSA-8vc2-jrm4-835w`の問題を修正しました。`oauth2`フィルターは、`:path`ヘッダーのないリクエスト（`CONNECT`など）を`400`で拒否します。
- **[security]** `api_key_auth`のクラッシュ修正
  - `hide_credentials`を有効にし、キーソースが`query`で、`:path`ヘッダーのないリクエストが別のキーソースで認証される場合に適用されます。
  - `GHSA-47vj-9r25-wv5j`の問題を修正しました。`hide_credentials`を有効にし、キーソースに`query`を指定した構成で、`:path`ヘッダーのないリクエストが別のキーソースで認証される場合のクラッシュを防ぎます。

[分析の詳細](https://ratatosk.io/ja/releases/envoy/v1.37.8)

[元のリリースノート](https://github.com/envoyproxy/envoy/releases/tag/v1.37.8)