Обновление nginx 1.31.7 и njs 1.0.2 с устранением уязвимостей

Сформирован выпуск основной ветки nginx 1.31.7, в рамках которой продолжается развитие новых возможностей, а также выпуск параллельно поддерживаемой стабильной ветки nginx 1.30.6, в которую вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей. В обновлениях устранено 5 уязвимостей:

• CVE-2026-15176 — переполнение буфера, проявляющееся при использовании
  директивы «alias» в конфигурациях, меняющих URI запроса через директиву
  «rewrite» с дальнейшим перенаправлением на файл.
• CVE-2026-93479 — переполнение буфера, возникающее при выполнении строковых выражений с переменными и проявляющееся при вычислении пути к корневому каталогу и при логгировании запросов в модулях http и stream
• CVE-2026-95101 — обход ограничения «client_max_body_size» и подстановка сторонних данных в проксируемый запрос через передачу некорректных фреймов в HTTP/3, часть содержимого которых могло быть обработано как тело запроса.
• CVE-2026-97629 — подделка TLS-сеансов из-за оставления одного из сессионных ключей неинициализированным во время ротации.
• CVE-2026-97205 — обращение к памяти после её освобождения (use-after-free), возникающее при использовании на SSI-страницах команд «include virtual» в сочетании с применением асинхронного ввода/вывода (AIO).

Не связанные с уязвимостями изменения в nginx 1.31.7:

• В модули ngx_http_geoip_module и ngx_stream_geoip_module добавлена поддержка БД в формате MaxMind (MMDB).
• Реализована возможность проверки по IP-адресу SSL-сертификатов, используемых в бэкенде.
• Реализованы возможности переконфигурации и обновления исполняемого файла при использовании в настройках директивы quic_bpf.
• В модуле ngx_http_v2_module реализована схема расстановки приоритетов, соответствующая RFC 9218.

Одновременно доступен выпуск njs 1.0.2, модуля для интеграции интерпретатора языка JavaScript в http-сервер nginx. Njs позволяет использовать сценарии JavaScript в файлах конфигурации для расширения возможностей nginx. Скрипты могут использоваться для определения расширенной логики обработки запросов, формирования конфигурации, динамической генерации ответов, модификации запроса/ответа или быстрого создания заглушек с решением проблем в web-приложениях. Код проекта написан на Си и распространяется под лицензией BSD.

В выпуске njs 1.0.2 устранены уязвимости: исчерпание доступной памяти при разборе некорректных XML-данных (CVE-2026-101025) и нарушение проверки подписанного XML-документа через манипуляцию с XML-атрибутами (CVE-2026-101019). Добавлены методы XMLNode.getAttributeNS() и XMLNode.getChildNS(). Сокращено потребление памяти при компиляции в движке njs.

Источник: opennet.ru