# Envoy v1.39.1

> Networking & Messaging · 2026-08-27

セキュリティ上の問題を中心に、HTTP 処理、URL の正規化、認可、QUIC、TLS、拡張機能に関する修正が含まれています。通常の正確性とメモリ管理に関する不具合も修正されています。

## 要対応
- **[security]** HTTP/3 フレーム処理の解放済みメモリ使用を修正
  - `CVE-2026-73512`（`GHSA-r6j2-mrm5-72mg`）に対応し、特定の順序とタイミングで受信した HTTP/3 フレームによる解放済みメモリの使用を修正しました。
- **[security]** HTTP/2 トレーラー受信時の異常終了を修正
  - `CVE-2026-73513`（`GHSA-jjmm-fw8p-crpw`）に対応し、`END_STREAM` フラグなしでトレーラーを受信した際の異常終了を修正しました。
- **[security]** URI パスのない `ext_authz` リクエストの異常終了を修正
  - `CVE-2026-73547`（`GHSA-87ph-jqwm-pg6r`）に対応し、URI パスのないリクエスト（`CONNECT` など）を `ext_authz` が処理した際の異常終了を修正しました。
- **[security]** 破棄された Host ヘッダーを HTTP/2 の制限に算入
  - `CVE-2026-73550`（`GHSA-qgf6-qvhw-4hvh`）に対応し、破棄された `Host` ヘッダーもリクエストヘッダーマップのサイズ制限と個数制限に算入するようになりました。`envoy.reloadable_features.http2_track_size_of_dropped_host_header` で元に戻せます。
- **[security]** ALPN 経由の HTTP/3 選択時の異常終了を修正
  - `CVE-2026-48521`（`GHSA-5vff-j9p4-38j3`）に対応し、ALPN でアップストリームプロトコルを選択し、サーバーが HTTP/3 を使用する場合の異常終了を修正しました。

## 影響確認
- **[security]** パスセグメント単位のパラメーター除去
  - URL正規化を使用しており、`envoy.reloadable_features.strip_path_parameters_per_segment` を有効にしていない場合に適用されます。
  - `CVE-2026-73511`（`GHSA-m745-gh6x-349x`）に対応し、`url normalization` で `RFC 3986 section 3.3` に従って各パスセグメントからパスパラメーターを除去するようになりました。`envoy.reloadable_features.strip_path_parameters_per_segment` で元に戻せます。
- **[security]** admin の統計名を HTML 変換前にサニタイズ
  - `admin` サブシステムを使用し、`envoy.reloadable_features.sanitize_html_stats_names` を有効にしている場合に適用されます。
  - `CVE-2026-73546`（`GHSA-pv9h-4fxf-7vrg`）に対応し、`admin` で統計名を HTML に変換する前にサニタイズするようになりました。この処理は `envoy.reloadable_features.sanitize_html_stats_names` で制御されます。
- **[security]** HTTP アップグレード前のペイロード処理を修正
  - HTTPを使用しており、`envoy.reloadable_features.http_pause_generic_upgrade_request_body` を有効にしていない場合に適用されます。
  - `CVE-2026-73548`（`GHSA-3vhp-c83q-jqc2`）に対応し、汎用 HTTP アップグレードの受理前に送られたペイロードがパイプライン化された HTTP/1 リクエストとして解釈され、共有アップストリーム接続を汚染する問題を修正しました。`envoy.reloadable_features.http_pause_generic_upgrade_request_body` で元に戻せます。
- **[security]** QUIC のスコープ付き IPv6 アドレス処理を修正
  - QUICクライアント接続または Original Dst クラスターを使用している場合に適用されます。
  - `CVE-2026-73549`（`GHSA-jp5f-qr64-c9vw`）に対応し、QUIC クライアント接続および Original Dst クラスターでスコープ付き IPv6 アドレスを処理した際のクラッシュを修正しました。
- **[security]** ドットセグメントのパスパラメーター除去
  - `normalize_path` が設定され、`envoy.reloadable_features.strip_dotdot_segments_with_parameters` を有効にしていない場合に適用されます。
  - `CVE-2026-73551`（`GHSA-2w8w-rfw7-8gg4`）に対応し、`normalize_path` が有効な場合、正規化で正しく解釈できるよう `/.;` と `/..;` のようなドットおよびドットドットのセグメントからパスパラメーターを除去します。`envoy.reloadable_features.strip_dotdot_segments_with_parameters` で元に戻せます。
- **[security]** `safe_regex` の文字セットモードを Latin1 に変更
  - `safe_regex` を使用しており、`envoy.reloadable_features.re2_use_latin1_mode` を有効にしていない場合に適用されます。
  - `CVE-2026-73552`（`GHSA-23xh-2qxr-3xv8`）に対応し、HTTP ヘッダーが UTF-8 エンコードではないことに合わせて、`safe_regex` の文字セットモードを UTF-8 から Latin1 に変更しました。`envoy.reloadable_features.re2_use_latin1_mode` で元に戻せます。
- **[security]** RBAC パス照合でパスパラメーター設定を尊重
  - `rbac` を使用し、`ignore_path_parameters_in_path_matching` を設定していて、`envoy.reloadable_features.rbac_respect_ignore_path_parameters` を有効にしていない場合に適用されます。
  - `CVE-2026-73553`（`GHSA-77x5-xqjg-hprq`）に対応し、`rbac` のパス照合がルートの `ignore_path_parameters_in_path_matching` を尊重するようになりました。追加されたパスパラメーターによる認可回避を防ぎます。`envoy.reloadable_features.rbac_respect_ignore_path_parameters` で元に戻せます。
- **[security]** HTTP 経由の `ext_authz` 拒否処理を修正
  - `ext_authz` と HTTP を使用している場合に適用されます。
  - `CVE-2026-50572`（`GHSA-q8wp-gf7q-m8cv`）に対応し、HTTP 経由の `ext_authz` がリクエストを拒否した際に発生する解放済みメモリの使用を修正しました。

## その他の記録された変更
- 4 (defect_corrected 4)

[分析の詳細](https://ratatosk.io/ja/releases/envoy/v1.39.1)

[元のリリースノート](https://github.com/envoyproxy/envoy/releases/tag/v1.39.1)