Nginx 1.23.2-nin əsas qolu buraxıldı, onun çərçivəsində yeni funksiyaların inkişafı davam edir, həmçinin nginx 1.22.1-in paralel dəstəklənən sabit filialının buraxılması, yalnız ciddi səhvlərin aradan qaldırılması ilə bağlı dəyişiklikləri və zəifliklər.
Yeni versiyalar ngx_http_mp2022_module modulunda H.41741/AAC formatında faylların yayımını təşkil etmək üçün istifadə edilən iki boşluğu (CVE-2022-41742, CVE-4-264) aradan qaldırır. Zəifliklər xüsusi hazırlanmış mp4 faylı işləyərkən yaddaşın pozulmasına və ya yaddaş sızmasına səbəb ola bilər. Nəticədə iş prosesinin təcili dayandırılması qeyd olunur, lakin serverdə kodun icrasının təşkili kimi digər təzahürlər də istisna edilmir.
Maraqlıdır ki, oxşar zəiflik 4-ci ildə ngx_http_mp2012_module modulunda artıq aradan qaldırılıb. Bundan əlavə, F5 NGINX Plus məhsulunda HLS (Apple HTTP Live Streaming) protokoluna dəstək verən ngx_http_hls_module moduluna təsir edən oxşar boşluq (CVE-2022-41743) haqqında məlumat verdi.
Zəiflikləri aradan qaldırmaqla yanaşı, nginx 1.23.2 aşağıdakı dəyişiklikləri təklif edir:
- Type-Length-Value PROXY v2 protokolunda görünən TLV (Type-Length-Value) sahələrinin dəyərlərini ehtiva edən “$proxy_protocol_tlv_*” dəyişənləri üçün əlavə dəstək.
- ssl_session_cache direktivində ortaq yaddaşdan istifadə edərkən istifadə edilən TLS sessiya biletləri üçün şifrələmə açarlarının avtomatik fırlanması təmin edilmişdir.
- Yanlış SSL qeyd növləri ilə bağlı səhvlər üçün qeyd səviyyəsi kritik səviyyədən məlumat səviyyəsinə endirildi.
- Yeni sessiya üçün yaddaşın ayrıla bilməməsi ilə bağlı mesajlar üçün qeyd səviyyəsi xəbərdarlıqdan xəbərdarlığa dəyişdirilib və saniyədə bir girişin çıxarılması ilə məhdudlaşıb.
- Windows platformasında OpenSSL 3.0 ilə montaj qurulmuşdur.
- Logda PROXY protokol xətalarının təkmilləşdirilmiş əks olunması.
- OpenSSL və ya BoringSSL əsasında TLSv1.3-dən istifadə edərkən "ssl_session_timeout" direktivində göstərilən fasilənin işləməməsi problemi həll edildi.
Mənbə: opennet.ru