# Envoy v1.38.5

> Networking & Messaging · 2026-10-01

TLSハンドシェイクで悪用される可能性があるBoringSSLの問題を修正し、Debian bullseye向けパッケージングを削除した保守リリースです。リリースビルド関連の内部更新も含まれます。

## 要対応
- **[security · medium]** `BoringSSL`の証明書解析における過剰なメモリ割り当てを修正
  - `CVE-2026-35189` に対応し、`nameRelativeToCRLIssuer` を含む CRL Distribution Points の証明書解析で過剰なメモリ割り当てが発生する問題を修正しました。この問題は TLS ハンドシェイク中にリモートからサービス拒否を引き起こされる可能性がありました。`--config=boringssl-fips` の `BoringSSL` FIPS ビルドにはこの修正は適用されません。
- **[breaking]** Debian bullseye（11）向けパッケージングを削除
  - Debian bullseye（11）はライフサイクル終了となり、主要な Debian ミラーからリポジトリを取得できなくなったため、Debian bullseye（11）向けのパッケージングを削除しました。

[分析の詳細](https://ratatosk.io/ja/releases/envoy/v1.38.5)

[元のリリースノート](https://github.com/envoyproxy/envoy/releases/tag/v1.38.5)