ዋናው የnginx 1.31.7 ቅርንጫፍ ተለቋል፣ ይህም አዳዲስ ባህሪያትን ማልማት ቀጥሏል። ትይዩ የሆነው የተረጋጋ ቅርንጫፍ፣ nginx 1.30.6፣ እንዲሁም ከባድ ሳንካዎችን እና ተጋላጭነቶችን ከማስተካከል ጋር የተያያዙ ለውጦችን ብቻ የያዘ ነው። እነዚህ ዝመናዎች አምስት ተጋላጭነቶችን ይፈታሉ፡
- CVE-2026-15176 - ሲጠቀሙ የቋት ፍሰት ይከሰታል
በመመሪያ በኩል የጥያቄውን URI የሚቀይሩ ውቅሮች ውስጥ ያሉ "alias" መመሪያዎች
"እንደገና መጻፍ" እና ወደ ፋይሉ በማዞር። - CVE-2026-93479 - የቋት ፍሰት የሚከሰተው ከተለዋዋጮች ጋር የሕብረቁምፊ አገላለጾችን ሲፈጽም ሲሆን ወደ ሩት ማውጫ የሚወስደውን መንገድ ሲያሰላ እና በ http እና በዥረት ሞጁሎች ውስጥ ጥያቄዎችን ሲመዘግብ እራሱን ያሳያል።
- CVE-2026-95101 — የ"client_max_body_size" ገደብን በማለፍ የሶስተኛ ወገን መረጃን ወደ ተኪ ጥያቄ በመተካት በHTTP/3 ውስጥ የተበላሹ ክፈፎችን በማስተላለፍ፣ አንዳንዶቹ ይዘታቸው እንደ የጥያቄ አካል ሊሰራ የሚችል።
- CVE-2026-97629 - በማሽከርከር ወቅት ከክፍለ ጊዜ ቁልፎቹ ውስጥ አንዱን ሳይጀመር በመተው ምክንያት የTLS ክፍለ ጊዜ ማጭበርበሪያ።
- CVE-2026-97205 - በSSI ገጾች ውስጥ "ምናባዊን አካትት" ትዕዛዞችን ከማይመሳሰል I/O (AIO) ጋር በማጣመር ሲጠቀሙ ከአጠቃቀም በኋላ ያለ ምንም ጉዳት ተጋላጭነት አለ።
በ nginx 1.31.7 ውስጥ ከተጋላጭነት ጋር የተያያዙ ለውጦች፡
- በማክስሚንድ (MMDB) ቅርጸት ውስጥ ላሉ የውሂብ ጎታዎች ድጋፍ ወደ ngx_http_geoip_module እና ngx_stream_geoip_module ሞጁሎች ታክሏል።
- በአይፒ አድራሻ የመመርመር ችሎታን ተግባራዊ አድርጓል SSL ሰርተፊኬቶች, በጀርባው ውስጥ ጥቅም ላይ ውሏል።
- በቅንብሮች ውስጥ የquic_bpf መመሪያን ሲጠቀሙ የሚተገበር ፋይልን እንደገና የማዋቀር እና የማዘመን ችሎታን ተግባራዊ አድርጓል።
- የngx_http_v2_ሞዱል ሞጁል ከRFC 9218 ጋር የሚስማማ የቅድሚያ አሰጣጥ ዘዴን ይተገብራል።
የጃቫስክሪፕት አስተርጓሚን ከNginx HTTP አገልጋይ ጋር ለማዋሃድ የሚያገለግል ሞጁል የሆነው Njs 1.0.2 አሁን ይገኛል። Njs የNginx ችሎታዎችን ለማራዘም በማዋቀሪያ ፋይሎች ውስጥ የጃቫስክሪፕት ስክሪፕቶችን መጠቀም ያስችላል። ስክሪፕቶች የላቀ የጥያቄ ሂደት አመክንዮ ለመግለጽ፣ ውቅር ለመፍጠር፣ ምላሾችን በተለዋዋጭነት ለማመንጨት፣ ጥያቄዎችን/ምላሾችን ለማሻሻል ወይም በድር መተግበሪያዎች ውስጥ ችግሮችን ለመፍታት ስቶቦችን በፍጥነት ለመፍጠር ሊያገለግሉ ይችላሉ። የፕሮጀክቱ ኮድ በC የተጻፈ ሲሆን በBSD ፈቃድ ስር ይሰራጫል።
NJS 1.0.2 የሚከተሉትን ተጋላጭነቶች ያስተካክላል፡- የተበላሸ የ XML ውሂብን ሲተነተን የማስታወስ ድካም (CVE-2026-101025) እና በ XML የባህሪ ማዛባት ምክንያት የተፈረመ የ XML ሰነድ ማረጋገጫ ጥሰት (CVE-2026-101019)። የ XMLNode.getAttributeNS() እና XMLNode.getChildNS() ዘዴዎች ተጨምረዋል። በ NJS ሞተር ውስጥ በሚጠናቀርበት ጊዜ የማህደረ ትውስታ ፍጆታ ቀንሷል።
ምንጭ: opennet.ru
