# Envoy v1.38.6

> Networking & Messaging · 2026-10-06

リクエストを契機に発生するEnvoyフィルターのクラッシュを修正したセキュリティメンテナンスリリースです。該当するフィルター設定を使用している場合に関係します。

## 影響確認
- **[security]** `oauth2`フィルターのリクエスト処理クラッシュ修正
  - `oauth2`フィルターを使用している場合に適用されます。
  - `oauth2`フィルターで、`:path`ヘッダーのないリクエスト（`CONNECT`）がクラッシュする問題を修正しました。このリクエストは`400`で拒否されます。対象のアドバイザリは`GHSA-8vc2-jrm4-835w`です。
- **[security]** `api_key_auth`の認証リクエスト処理クラッシュ修正
  - `hide_credentials`を有効にした`api_key_auth`で、キーソースに`query`を使用している場合に適用されます。
  - `hide_credentials`を有効にした`api_key_auth`で、キーソースに`query`を指定し、別のキーソースで認証された`:path`ヘッダーのないリクエスト（`CONNECT`）がクラッシュする問題を修正しました。対象のアドバイザリは`GHSA-47vj-9r25-wv5j`です。

[分析の詳細](https://ratatosk.io/ja/releases/envoy/v1.38.6)

[元のリリースノート](https://github.com/envoyproxy/envoy/releases/tag/v1.38.6)