Envoyの脆弱性情報が取り下げ、修正版の記載なし
Envoyに関連づけられていたCVE-2026-107492が、2026年11月6日に取り下げ済みとして公開されました。このIDだけを理由に急ぐ必要はありませんが、Envoyを使う組織は版と関連する勧告の内容を確認してください。
急ぎ度: 計画的に
CVE-2026-107492は採番機関に取り下げられ、影響版も修正版も勧告に載っていませんが、CVSS v3で10という評価と関連勧告が残っているため、Envoyの版と勧告の内容は確認しておく必要があります。
関係があるか
Envoyを自社で運用している組織、またはEnvoyを組み込んだ製品を使っている組織が確認の対象です。このIDを検出したスキャナーや管理台帳を持つ組織も含みます。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| envoy（envoyproxy） | CVEに紐づく情報には1.38.0以前と記録されています。ただしIDは取り下げられ、GitHub Advisory Databaseの項目には影響版が未記載です。 | このIDでは示されていません |
確かめ方
- 1運用中のEnvoyの版を確認し、1.38.0以前かどうかを調べます。
- 2コンテナイメージやサービスメッシュ、APIゲートウェイなど、Envoyを内部に含む製品がないかを資産台帳で洗い出します。
- 3Envoyプロジェクトが公開しているGHSA-67v5-5298-mjc3の勧告ページを開き、影響する版、修正版、別のCVE IDが付いているかを確認します。
何が起きたか
CVE-2026-107492は、CVEの採番機関によって取り下げられました。2026年11月6日に、取り下げ済みの記録として公開されています。
GitHub Advisory Databaseの項目は未レビューのままで、本文は取り下げを知らせる一文だけです。影響する版、修正版、深刻度のいずれも書かれていません。
ただし、このIDには評価の数値が残っています。CVSS v3は10、分類は認証に関する不備にあたるCWE-287で、対象にはenvoyの1.38.0以前が記録されています。参照先にはEnvoyプロジェクトのGHSA-67v5-5298-mjc3も挙がっていますが、その内容は確認できていません。そのため、Envoyにどんな問題があったのかは、この記録からは分かりません。
どう悪用されるか
取り下げ前に付いていた評価は、ネットワーク経由で、認証も利用者の操作も要らず、影響範囲が他のコンポーネントに広がり得るというものでした。機密性・完全性・可用性への影響はいずれも高いとされています。
ただしIDそのものが取り下げられているため、この評価が実在する問題を正しく表しているかは判断できません。実際の悪用が確認された記録もありません。
今すぐやること
-
1
このIDを理由にした緊急の更新は見送る
脆弱性管理の台帳やスキャナーの結果で、CVE-2026-107492の状態を取り下げに更新します。ほかに根拠がないまま、このIDだけで更新を急ぐ必要はありません。
-
2
Envoyの版を確認する
Envoyを直接運用している環境で版を調べます。組み込み製品は、ベンダーの案内や管理画面で版を確認します。
envoy --version -
3
Envoyプロジェクトの勧告を確認する
GHSA-67v5-5298-mjc3の勧告ページで、影響する版と修正版、別のCVE IDの有無を読みます。1.38.0以前を使っていて、勧告に修正版が示されていれば、その版への更新を計画に入れます。
-
4
Envoyの更新情報を定期的に追う
Envoyのセキュリティ勧告とリリースノートを購読し、IDが付け替えられた場合にも気づける状態にしておきます。
背景
Envoyはクラウド環境のサービス間通信や、外部からの入口でよく使われるプロキシです。TLSの終端、ルーティング、認証に関する処理を受け持つことが多く、組織によっては、サービスメッシュやAPIゲートウェイの製品の内部で動いています。
このIDに付いていた分類は、認証に関する不備のCWE-287です。入口に置かれたプロキシでこの種の問題が実在すれば影響は大きくなりますが、今回は取り下げられたIDの記録で、実在するかどうかは判断できません。取り下げは、重複や誤った採番などで行われることがあります。このIDの理由は記録に書かれていません。
よくある質問
Q.取り下げられたなら、Envoyは安全だと考えてよいですか。
まだ分かっていないこと
- 取り下げの理由は、記録に書かれていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| envoyproxy | envoy |
1.38.0 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web github.com
- web nvd.nist.gov
- web github.com