JVNDB-2026-021561

Envoy ProxyのEnvoyにおける演算子の使用に関する脆弱性

Envoyはクラウドネイティブアプリケーション向けに設計されたオープンソースのエッジおよびサービスプロキシです。バージョン1.35.11、1.36.7、1.37.3、および1.38.1以前では、UDP DNSフィルターが255オクテット長の名前を含むローカル解決や255オクテット長の名前のリモート解決に構成されている場合、そのような名前を持つクエリが正常に完了すると、異常なプロセス終了が発生します。この異常なプロセス終了は、クエリ名が厳密に255オクテット未満であるべきだという無効なランタイム前提条件によって引き起こされますが、これはDNS仕様のRFC1035のセクション2.3.4において名前は255オクテット以下であることを許容していることと矛盾しています。この脆弱性はバージョン1.35.11、1.36.7、1.37.3、および1.38.1で修正されています。

Envoy Proxy

• Envoy 1.35.13 未満
• Envoy 1.36.0 以上 1.36.9 未満
• Envoy 1.37.0 以上 1.37.5 未満
• Envoy 1.38.0 以上 1.38.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Abnormal process termination in DNS UDP filter  Advisory  envoyproxy/envoy  GitHub

1. 不適切な演算子の使用(CWE-480) [その他]

1. CVE-2026-48497

1. National Vulnerability Database (NVD) : CVE-2026-48497

• [2026年06月30日]
    掲載