# Envoy v1.39.3

> Networking & Messaging · 2026-10-06

セキュリティメンテナンスリリースです。Envoyフィルターで発生するクラッシュ脆弱性を修正し、`:path` ヘッダーのない CONNECT リクエストを安全に扱うようになりました。

## 影響確認
- **[security]** `oauth2` フィルターの CONNECT リクエスト処理修正
  - `:path` ヘッダーのない CONNECT リクエストに適用されます。
  - `:path` ヘッダーのない CONNECT リクエストで `oauth2` フィルターがクラッシュする問題を修正しました。このリクエストは `400` で拒否されます。該当するアドバイザリは `GHSA-8vc2-jrm4-835w` です。
- **[security]** `api_key_auth` の認証時クラッシュ修正
  - `hide_credentials` を有効にし、キーソースに `query` を設定している場合に適用されます。
  - `hide_credentials` を有効にし、キーソースに `query` を設定している場合、別のキーソースで認証された `:path` ヘッダーなしの CONNECT リクエストで `api_key_auth` がクラッシュする問題を修正しました。該当するアドバイザリは `GHSA-47vj-9r25-wv5j` です。

[分析の詳細](https://ratatosk.io/ja/releases/envoy/v1.39.3)

[元のリリースノート](https://github.com/envoyproxy/envoy/releases/tag/v1.39.3)