# Envoy v1.38.4

> Networking & Messaging · 2026-08-26

セキュリティ関連の修正を中心としたメンテナンスリリースです。脆弱性への対応に加え、クラッシュやメモリ安全性の問題を修正し、リクエスト処理の既定動作も変更しています。

## 要対応
- **[security]** パスセグメント単位のパスパラメーター除去
  - `CVE-2026-73511`（`GHSA-m745-gh6x-349x`）に対応し、URL正規化でRFC 3986 section 3.3に従って各パスセグメントからパスパラメーターを除去する動作になりました。`envoy.reloadable_features.strip_path_parameters_per_segment` で元に戻せます。

## 影響確認
- **[security]** HTTP/3フレーム処理の `UAF` 修正
  - `http3` を実行している場合に適用されます。
  - `CVE-2026-73512`（`GHSA-r6j2-mrm5-72mg`）に対応し、特定のタイミングでHTTP/3フレームを受信した際に発生する `UAF` を修正しました。
- **[security]** HTTP/2トレーラー受信時の異常終了修正
  - `http2` を実行している場合に適用されます。
  - `CVE-2026-73513`（`GHSA-jjmm-fw8p-crpw`）に対応し、`END_STREAM` フラグなしでトレーラーを受信した際にプロセスが異常終了する問題を修正しました。
- **[security]** 管理画面の統計名のサニタイズ
  - `envoy.reloadable_features.sanitize_html_stats_names` が有効な場合に適用されます。
  - `CVE-2026-73546`（`GHSA-pv9h-4fxf-7vrg`）に対応し、管理画面で統計名をHTMLへ変換する前にサニタイズするようになりました。この動作は `envoy.reloadable_features.sanitize_html_stats_names` で制御されます。
- **[security]** URIパスのない `ext_authz` リクエストの異常終了修正
  - `ext_authz` を実行している場合に適用されます。
  - `CVE-2026-73547`（`GHSA-87ph-jqwm-pg6r`）に対応し、URIパスのないリクエスト、つまり `CONNECT` リクエストでプロセスが異常終了する問題を修正しました。
- **[security]** 汎用HTTPアップグレード前のペイロード処理
  - `http` を実行している場合に適用されます。
  - `CVE-2026-73548`（`GHSA-3vhp-c83q-jqc2`）に対応し、汎用HTTPアップグレードの受理前に送られたペイロードをパイプライン化されたHTTP/1リクエストとして解釈し、共有アップストリーム接続を汚染する問題を修正しました。`envoy.reloadable_features.http_pause_generic_upgrade_request_body` で元に戻せます。
- **[security]** QUICのスコープ付きIPv6アドレス処理
  - `quic` を実行している場合に適用されます。
  - `CVE-2026-73549`（`GHSA-jp5f-qr64-c9vw`）に対応し、QUICクライアント接続およびOriginal Dstクラスターでスコープ付きIPv6アドレスを処理した際にクラッシュする問題を修正しました。
- **[security]** 破棄された `Host` ヘッダーのサイズ計上
  - `http2` を実行している場合に適用されます。
  - `CVE-2026-73550`（`GHSA-qgf6-qvhw-4hvh`）に対応し、破棄された `Host` ヘッダーもリクエストヘッダーマップのサイズおよび件数の上限に算入するようになりました。`envoy.reloadable_features.http2_track_size_of_dropped_host_header` で元に戻せます。
- **[security]** ドットセグメントのパスパラメーター除去
  - `normalize_path` が有効な場合に適用されます。
  - `CVE-2026-73551`（`GHSA-2w8w-rfw7-8gg4`）に対応し、URL正規化で `/.;` および `/..;` のドットセグメントとドットドットセグメントからパスパラメーターを除去し、正規化で正しく解釈するようになりました。`envoy.reloadable_features.strip_dotdot_segments_with_parameters` で元に戻せます。
- **[security]** `safe_regex` の文字セットモード変更
  - `safe_regex` を実行している場合に適用されます。
  - `CVE-2026-73552`（`GHSA-23xh-2qxr-3xv8`）に対応し、HTTPヘッダーがUTF-8でエンコードされていないことに合わせて、`safe_regex` の文字セットモードをUTF-8からLatin1へ変更しました。`envoy.reloadable_features.re2_use_latin1_mode` で元に戻せます。
- **[security]** RBACパスマッチングのパラメーター設定対応
  - `rbac` を実行し、`ignore_path_parameters_in_path_matching` を設定している場合に適用されます。
  - `CVE-2026-73553`（`GHSA-77x5-xqjg-hprq`）に対応し、RBACのパスマッチングがルートの `ignore_path_parameters_in_path_matching` を考慮するようになりました。追加されたパスパラメーターによる認可回避を防ぎます。`envoy.reloadable_features.rbac_respect_ignore_path_parameters` で元に戻せます。
- **[security]** HTTP経由の `ext_authz` における `UAF` 修正
  - `ext_authz` を実行している場合に適用されます。
  - `CVE-2026-50572`（`GHSA-q8wp-gf7q-m8cv`）に対応し、HTTP経由の `ext_authz` がリクエストを拒否した際に発生する `UAF` を修正しました。
- **[security]** ALPNでHTTP/3を選択した場合の異常終了修正
  - `http3` を実行している場合に適用されます。
  - `CVE-2026-48521`（`GHSA-5vff-j9p4-38j3`）に対応し、ALPNでアップストリームプロトコルを選択し、サーバーがHTTP/3を使用する場合にプロセスが異常終了する問題を修正しました。

## その他の記録された変更
- 5 (defect_corrected 5)

[分析の詳細](https://ratatosk.io/ja/releases/envoy/v1.38.4)

[元のリリースノート](https://github.com/envoyproxy/envoy/releases/tag/v1.38.4)