የ nginx 1.23.2 ዋና ቅርንጫፍ ተለቋል, በውስጡም የአዳዲስ ባህሪያት እድገት የሚቀጥልበት, እንዲሁም ትይዩ የሚደገፈው የተረጋጋ የ nginx 1.22.1 ቅርንጫፍ ተለቀቀ, ይህም ከባድ ስህተቶችን ከማስወገድ ጋር የተያያዙ ለውጦችን ብቻ ያካትታል. ድክመቶች.
አዲሶቹ ስሪቶች በ ngx_http_mp2022_module ሞዱል ውስጥ በH.41741/AAC ቅርጸት ከፋይሎች ዥረት ለማደራጀት የሚያገለግሉ ሁለት ተጋላጭነቶችን (CVE-2022-41742፣ CVE-4-264) ያስወግዳሉ። ድክመቶቹ በልዩ ሁኔታ የተሰራ የmp4 ፋይልን ሲሰሩ ወደ ማህደረ ትውስታ መበላሸት ወይም የማስታወሻ መጥፋት ሊያመራ ይችላል። በዚህ ምክንያት የሥራ ሂደት ድንገተኛ መቋረጥ ተጠቅሷል ፣ ግን ሌሎች መገለጫዎች አልተገለሉም ፣ ለምሳሌ በአገልጋዩ ላይ የኮድ አፈፃፀም አደረጃጀት።
በ 4 ተመሳሳይ ተጋላጭነት በngx_http_mp2012_module ሞጁል ውስጥ ተስተካክሎ እንደነበር ልብ ሊባል የሚገባው ጉዳይ ነው። በተጨማሪም F5 በNGINX Plus ምርት ውስጥ ተመሳሳይ ተጋላጭነት (CVE-2022-41743) ዘግቧል፣ ይህም የ NGx_http_hls_module ሞጁሉን ነካ፣ ይህም ለኤችኤልኤስ (Apple HTTP Live Streaming) ፕሮቶኮል ድጋፍ ይሰጣል።
ተጋላጭነቶችን ከማስወገድ በተጨማሪ የሚከተሉት ለውጦች በ nginx 1.23.2 ቀርበዋል፡-
- በ Type-Length-Value PROXY v2 ፕሮቶኮል ውስጥ የሚታዩትን የ TLV (የአይነት-ርዝመት-ዋጋ) መስኮችን ለያዙት ለ«$proxy_protocol_tlv_*» ተለዋዋጮች ድጋፍ ታክሏል።
- በssl_session_cache መመሪያ ውስጥ የጋራ ማህደረ ትውስታን ሲጠቀሙ ለTLS ክፍለ ጊዜ ትኬቶች የምስጠራ ቁልፎችን በራስ ሰር ማሽከርከር ቀርቧል።
- ከተሳሳተ የኤስ ኤስ ኤል መዝገብ አይነቶች ጋር የተያያዙ ስህተቶች የመግባት ደረጃ ከወሳኝ ወደ መረጃ ደረጃ ዝቅ ብሏል።
- ማህደረ ትውስታን ለአዲስ ክፍለ ጊዜ መመደብ አለመቻልን በተመለከተ የመልእክቶች የመግቢያ ደረጃ ከማንቂያ ወደ ማስጠንቀቂያ ተለውጧል እና በሰከንድ አንድ ግቤት ለማውጣት የተገደበ ነው።
- በዊንዶውስ መድረክ ላይ ከ OpenSSL 3.0 ጋር ስብሰባ ተመስርቷል.
- በምዝግብ ማስታወሻው ውስጥ የተሻሻለ የPROXY ፕሮቶኮል ስህተቶች ነጸብራቅ።
- በ"ssl_session_timeout" መመሪያ ላይ የተገለጸው ጊዜ ማብቂያ TLSv1.3ን በOpenSSL ወይም BoringSSL ላይ በመመስረት ሲጠቀም የማይሰራ ችግር ተስተካክሏል።
ምንጭ: opennet.ru