変更の概要 変更のビルドを壊す: Envoy は WORKSPACE から bzlmod に切り替えました。WORKSPACE ファイルは削除され、Envoy,API,docs はバゼルモジュール (envoy,envoy_api,envoy-docs) として公開される。ダウンストリームは、MODULE.bazel に移行し、BCR の隣にEnvoy のカスタムレジストリ (https://raw.githubusercontent.com/envoyproxy/bazel-registry) を追加する必要があります。
変更の要約:アップストリームセキュリティ修正: eMudhra 中間CAの妥協:リリース:パッチされたca証明書パッケージ (20250419+deb13u1) をピックアップするためにdistrolessドッカー画像ベースを更新、もはや eMudhra 中間CAのルーツを信頼していない。1.40.1でリリースされたディストロレス画像は 未修正のバンドをまだ出荷しましたドッカー画像: https://hub.docker.com/r/envoypro...
変更の要約:アップストリームセキュリティ修正: eMudhra 中間CAの妥協:リリース:パッチされたca証明書パッケージ (20250419+deb13u1) をピックアップするためにdistrolessドッカー画像ベースを更新、もはや eMudhra 中間CAのルーツを信頼していない。1.39.5でリリースされたディストロレス画像は 未修正のバンドをまだ送っていましたドッカー画像: https://hub.docker.com/r/envoypro...
変更の要約: 上流セキュリティ修正: eMudhra 中間CAの妥協:リリース: ディストロレスドッカーイメージは、デビアンブックワームからのパッチされたca証明書パッケージ (20250419~deb12u2) を使用しているため、もう eMudhra 中間CAのルーツを信頼していない。1.38.8でリリースされたディストロレス画像は 未修正のパケットを運送していましたドッカー画像: https://hub.docker.com/r/en...
変更の要約: 上流セキュリティ修正: eMudhra 中間CAの妥協:リリース: ディストロレスドッカーイメージは、デビアンブックワームからのパッチされたca証明書パッケージ (20250419~deb12u2) を使用しているため、もう eMudhra 中間CAのルーツを信頼していない。1.37.10でリリースされたディストロレス画像は 未修正のバンドをまだ出荷しましたドッカー画像: https://hub.docker.com/r/e...
変更の要約: 上流セキュリティ修正: eMudhra 中間CAの妥協:いくつかの eMudhra 中間CA証明書のプライベートキーが侵害されました。リリース:エンボイのドッカー画像を更新し、もうeMudhra CAが攻撃されたことを信用できないようにしました。モバイル: エンボイ モバイルに組み込まれたルート証明書パッケージから AAA 証明書サービスと emSign ECC ルーツ CA - G3 ルーツを削除しました。仕える。..
変更の要約: 上流セキュリティ修正: eMudhra 中間CAの妥協:いくつかの eMudhra 中間CA証明書のプライベートキーが侵害されました。リリース:エンボイのドッカー画像を更新し、もうeMudhra CAが攻撃されたことを信用できないようにしました。モバイル: エンボイ モバイルに組み込まれたルート証明書パッケージから AAA 証明書サービスと emSign ECC ルーツ CA - G3 ルーツを削除しました。仕える。..
変更の要約: 上流セキュリティ修正: eMudhra 中間CAの妥協:いくつかの eMudhra 中間CA証明書のプライベートキーが侵害されました。リリース:エンボイのドッカー画像を更新し、もうeMudhra CAが攻撃されたことを信用できないようにしました。モバイル: エンボイ モバイルに組み込まれたルート証明書パッケージから AAA 証明書サービスと emSign ECC ルーツ CA - G3 ルーツを削除しました。仕える。..
変更の要約: 上流セキュリティ修正: eMudhra 中間CAの妥協:いくつかの eMudhra 中間CA証明書のプライベートキーが侵害されました。リリース:エンボイのドッカー画像を更新し、もうeMudhra CAが攻撃されたことを信用できないようにしました。モバイル: エンボイ モバイルに組み込まれたルート証明書パッケージから AAA 証明書サービスと emSign ECC ルーツ CA - G3 ルーツを削除しました。仕える。..
変更の要約: バグ修正: aws: AWS リクエスト署名と AWS Lambda フィルターのルートレベルの構成が、RDS 更新がルート構成を置き換えるとワーカースレッドで破壊される可能性があるレースを修正しました。複合: 複合フィルターのルートレベル構成が RDS アップデートで路線構成が置き換えられたとき 作業スレッドで破壊される可能性があるレースを修正しました。...
変更の要約: 上流セキュリティ修正: wasm: CVE-2026-54786を解決するために wasm時間を 24.0.10 にアップしました。バグ修正: aws: AWS リクエスト署名と AWS Lambda フィルターのルートレベルの構成が、RDS アップデートでルート構成が置き換えられたときにワーカースレッドで破壊される可能性があるレースを修正しました。dynamic_modules: ワーケで実行できる ルーツコンフィギュレーション破壊フックのバグが修正されました。..
変更の要約: 上流セキュリティ修正: CVE-2026-54786: wasm: CVE-2026-54786を解決するために wasmtime を 24.0.10 にアップしました。バグ修正: aws: AWS リクエスト署名と AWS Lambda フィルターのルートレベルの構成が、RDS アップデートでルート構成が置き換えられたときにワーカースレッドで破壊される可能性があるレースを修正しました。local_ratelimit: 株主経営者が所有する。..
変更の要約: 上流セキュリティ修正: CVE-2026-54786: wasm: CVE-2026-54786を解決するために wasmtime を 24.0.10 にアップしました。バグ修正: aws: AWS リクエスト署名と AWS Lambda フィルターのルートレベルの構成が、RDS アップデートでルート構成が置き換えられたときにワーカースレッドで破壊される可能性があるレースを修正しました。local_ratelimit: 株主経営者が所有する。..
変更の要約: セキュリティ修正: GHSA-8vc2-jrm4-835w: oauth2: :path ヘッダなしのリクエストでクラッシュ接続する)フィルターは400で拒否しますGHSA-47vj-9r25-wv5j: api_key_auth: hide_credentials が起動したときにクラッシュする。CONNECT) は別のキーソースで認証されます。ドッカー画像: https://hub.docker.com/r/...
変更の要約: セキュリティ修正: GHSA-8vc2-jrm4-835w: oauth2: :path ヘッダなしのリクエストでクラッシュ接続する)フィルターは400で拒否しますGHSA-47vj-9r25-wv5j: api_key_auth: hide_credentials が起動したときにクラッシュする。CONNECT) は別のキーソースで認証されます。ドッカー画像: https://hub.docker.com/r/...
変更の要約: セキュリティ修正: GHSA-8vc2-jrm4-835w: oauth2: :path ヘッダなしのリクエストでクラッシュ接続する)フィルターは400で拒否しますGHSA-47vj-9r25-wv5j: api_key_auth: hide_credentials が起動したときにクラッシュする。CONNECT) は別のキーソースで認証されます。ドッカー画像: https://hub.docker.com/r/...
変更の要約: セキュリティ修正: GHSA-8vc2-jrm4-835w: oauth2: :path ヘッダなしのリクエストでクラッシュ接続する)フィルターは400で拒否しますGHSA-47vj-9r25-wv5j: api_key_auth: hide_credentials が起動したときにクラッシュする。CONNECT) は別のキーソースで認証されます。ドッカー画像: https://hub.docker.com/r/...
変更の要約: セキュリティ修正: CVE-2026-35189: tls: TLS ハンドシェイク中に遠隔サービス拒否のために利用できる、nameRelativeToCRLIssuer CRL ディストリビューションポイントの証明書解析時に過剰なメモリ割り当てを修正するために BoringSSL をパッチしました。BoringSSL FIPSビルド (--define boringssl=fips) はこのパッチを受け付けていません。ビルド/パッケージング: Debianのバールアイ (11) パッケージを削除。..
変更の要約: セキュリティ修正: CVE-2026-35189: tls: TLS ハンドシェイク中に遠隔サービス拒否のために利用できる、nameRelativeToCRLIssuer CRL ディストリビューションポイントの証明書解析時に過剰なメモリ割り当てを修正するために BoringSSL をパッチしました。BoringSSL FIPSビルド (--config=boringssl-fips) はこのパッチを受け付けていません。ビルド/パッケージング: Debianのバールアイ (11) パッケージを削除。..
変更の要約: セキュリティ修正: CVE-2026-35189: tls: TLS ハンドシェイク中に遠隔サービス拒否のために利用できる、nameRelativeToCRLIssuer CRL ディストリビューションポイントを持つ証明書の解析時に過剰なメモリ割り当てを修正するために、更新された BoringSSL.ビルド/パッケージング:Debianのbullseye (11) のパッケージングは削除されています。
変更の要約: セキュリティ修正: CVE-2026-35189: tls: TLS ハンドシェイク中に遠隔サービス拒否のために利用できる、nameRelativeToCRLIssuer CRL ディストリビューションポイントの証明書解析時に過剰なメモリ割り当てを修正するために BoringSSL をパッチしました。FIPSビルドはパッチされていないことに注意してください。ビルド/パッケージング:デビアン・ブルセイ (11) のパッケージングを削除しました。 ブルセイは寿命が終わり、その。..
変更の要約: セキュリティ修正: CVE-2026-73511: url 標準化: RFC 3986 セクション 3.3 による個々のパスセグメントからのストリップパスパラメータ。envoy.reloadable_features.strip_path_parameters_per_segment で戻すCVE-2026-73512: http3: UAF は HTTP/3 フレームの特定のタイミングのシーケンスでCVE-2026-73513: http2: END_STREAMフラグなしで受信されたトレーラーで異常なプロセス終了。..
変更の要約: セキュリティ修正: CVE-2026-73511: url 標準化: RFC 3986 セクション 3.3 による個々のパスセグメントからのストリップパスパラメータ。envoy.reloadable_features.strip_path_parameters_per_segment で戻すCVE-2026-73512: http3: UAF は HTTP/3 フレームの特定のタイミングのシーケンスでCVE-2026-73513: http2: END_STREAMフラグなしで受信されたトレーラーで異常なプロセス終了。..
変更の要約: セキュリティ修正: CVE-2026-73511: url 標準化: RFC 3986 セクション 3.3 による個々のパスセグメントからのストリップパスパラメータ。envoy.reloadable_features.strip_path_parameters_per_segment で戻すCVE-2026-73512: http3: UAF は HTTP/3 フレームの特定のタイミングのシーケンスでCVE-2026-73513: http2: END_STREAMフラグなしで受信されたトレーラーで異常なプロセス終了。..
変更の要約: セキュリティ修正: CVE-2026-73511: url 標準化: RFC 3986 セクション 3.3 による個々のパスセグメントからのストリップパスパラメータ。envoy.reloadable_features.strip_path_parameters_per_segment で戻すCVE-2026-73512: http3: UAF は HTTP/3 フレームの特定のタイミングのシーケンスでCVE-2026-73513: http2: END_STREAMフラグなしで受信されたトレーラーで異常なプロセス終了。..
変更の要約: セキュリティ修正: CVE-2026-47205:ルートの各Authzクラッシュ CVE-2026-47207: 1つのgRPCメッセージで ext_proc応答 CVE-2026-47221: ルータ内部リダイレクトクラッシュ CVE-2026-47775: OAuth2コード検証器パッディングオラクル CVE-2026-48044: zstd RLEジップ爆弾 CVE-2026-47204: grpc_statsフィルターセグファール 接続プロトコルの要求をdirekt_responseルートに CVE-2026-47692: PROXY プロトコルv2ヘッダー。..
変更の要約 変更のビルドを更新: エスバイは現在、バゼル 8 を使用しています。Envoy はまだ WORKSPACE モードを使用しているため、 --enable_workspace と --noenable_bzlmod が必要であり、 .bazelrc に追加されました。外部リポジトリの実行ファイルは、実行ファイルのルートの下に直接表示されます。ビルド:Intel DLB接続バランサー (envoy.network.connection_balance.dlb) は、壊れたソースですべてのビルドで無効になっています。
変更の要約: セキュリティ修正: CVE-2026-47207: gRPC メッセージ CVE-2026-47221: ルータ内部リダイレクトクラッシュ CVE-2026-47775: OAuth2 コード検証器パッディングオラクル CVE-2026-48044: zstd RLE ジップ爆弾 CVE-2026-47204: grpc_stats フィルターセグファール 接続プロトコルのリクエストをdirect_response ルート CVE-2026-47692: PROXY プロトコル v2 ヘッダジェネータはTLVを"スキップ"し、原因。..
変更の要約: セキュリティ修正: CVE-2026-47205:Authz per route クラッシュ CVE-2026-47207: ext_proc 応答 1 つの gRPC メッセージ CVE-2026-47221: ルータ内部リダイレクトクラッシュ CVE-2026-47220: REQUESTED_SERVER_NAME クラッシュ CVE-2026-47775: OAuth2 コード検証器パッディングオラクル CVE-2026-48044: zstd RLE ジップ爆弾 CVE-2026-47204: grpc_stats フィルターセグファルト 接続プロトコルの要求を直接_レスポンスのルート。..
変更の要約: セキュリティ修正: CVE-2026-47205: Authz per route クラッシュ CVE-2026-47207: ext_proc 応答 1 つの gRPC メッセージ CVE-2026-47221: ルータ内部リダイレクトクラッシュ CVE-2026-47220: REQUESTED_SERVER_NAME クラッシュ CVE-2026-47775: OAuth2 コード検証器パッディングオラクル CVE-2026-48044: zstd RLE ジップ爆弾 CVE-2026-47204: grpc_stats フィルターセグファルト 接続プロトコルのリクエストをdirect_response rou...