Сформирован выпуск основной ветки nginx 1.23.2, которая продолжает развитие новых возможностей и поддержку параллельно существующей стабильной ветки nginx 1.22.1, куда вносятся изменения, касающиеся исключительно устранения серьезных ошибок и уязвимостей.
В новых версиях устранены две уязвимости (CVE-2022-41741, CVE-2022-41742) в модуле ngx_http_mp4_module, используемом для потокового вещания из файлов в формате H.264/AAC. Уязвимости могут привести к повреждению памяти или утечке содержимого памяти при обработке заранее подготовленного файла в формате mp4. В качестве последствий упоминается аварийное завершение рабочего процесса, однако не исключены и иные случаи, такие как выполнение кода на сървър.
Примечательно, что похожая уязвимость уже была устранена в модуле ngx_http_mp4_module в 2012 году. Также компания F5 сообщила о сходной уязвимости (CVE-2022-41743) в продукте NGINX Plus, касающейся модуля ngx_http_hls_module, который обеспечивает поддержку протокола HLS (Apple HTTP Live Streaming).
Помимо устранения уязвимостей в nginx 1.23.2 предложены следующие изменения:
- Добавлена поддержка переменных «$proxy_protocol_tlv_*», которые содержат значения полей TLV (Type-Length-Value), использующихся в протоколе Type-Length-Value PROXY v2.
- Обеспечена автоматическая ротация ключей шифрования для сеансовых тикетов TLS, применяемая при использовании общей памяти в директиве ssl_session_cache.
- Уровень ведения журнала для ошибок, связанных с неправильным типом записей SSL, понижен с критического до информационного уровня.
- Уровень ведения журнала для сообщений о невозможности выделения памяти для нового сеанса изменен с alert на warn и ограничен выводом одной записи в секунду.
- На платформе Windows налажена сборка с OpenSSL 3.0.
- Налажено отражение ошибок в логе протокола PROXY.
- Устранена проблема, из-за которой при использовании TLSv1.3 на базе OpenSSL или BoringSSL не работал тайм-аут, указанный в директиве «ssl_session_timeout».
Източник: opennet.ru
