# Envoy v1.38.6

> Networking & Messaging · 2026-10-06

요청 처리 중 Envoy 필터가 충돌하던 보안 문제를 수정한 유지 보수 릴리스입니다. `:path` 헤더가 없는 요청 가운데 안전하지 않은 요청 패턴은 이제 `400`으로 거부됩니다.

## 영향 확인
- **[security]** `oauth2`의 `:path` 없는 요청 처리 수정
  - `oauth2` 필터를 사용하는 경우 적용됩니다.
  - `GHSA-8vc2-jrm4-835w`에 해당하는 문제를 수정했습니다. `:path` 헤더가 없는 요청, 즉 `CONNECT` 요청에서 `oauth2` 필터가 충돌하던 동작을 고쳤으며, 이런 요청은 이제 `400`으로 거부됩니다.
- **[security]** `api_key_auth`의 특정 `CONNECT` 요청 충돌 수정
  - `hide_credentials`를 활성화하고 `query` 키 원본과 함께 `api_key_auth`를 사용하는 경우 적용됩니다.
  - `GHSA-47vj-9r25-wv5j`에 해당하는 문제를 수정했습니다. `hide_credentials`가 활성화되고 `query` 키 원본을 사용하는 `api_key_auth`에서, 다른 키 원본으로 인증된 `:path` 헤더 없는 `CONNECT` 요청 처리 중 충돌하던 문제가 해결됐습니다.

[분석 자세히 보기](https://ratatosk.io/ko/releases/envoy/v1.38.6)

[원본 릴리스 노트](https://github.com/envoyproxy/envoy/releases/tag/v1.38.6)