След една година разработка, проектът Nginx обяви излизането на новата стабилна версия 1.30.0. В рамките на подготовката на стабилната версия бяха отстранени шест уязвимости, четири от които са свързани с модула за обработка на медийни файлове и протоколите за удостоверяване. Ключовата промяна е поддръжката на HTTP/3 и QUIC, която вече се счита за готова за продукционна среда.
Поправени уязвимости:
- CVE-2026-27654: Препълване на буфера при обработка на заявки COPY или MOVE в локация с директива alias може да позволи на злонамереното лице да излезе извън кореновата директория на сайта.
- CVE-2026-27784: Специално форматиран MP4 файл може да доведе до срив на работния процес на 32-битови платформи.
- CVE-2026-27651: Сегментационна грешка в работния процес при използване на методи за удостоверяване CRAM-MD5 или APOP с включена повторна опция за удостоверяване.
- CVE-2026-28753: Използване на PTR DNS записи за внедряване на данни в auth_http заявки и команда XCLIENT в SMTP връзка на бекенда.
- CVE-2026-28755: Успешно завършване SSL-на ръкостискането, въпреки че клиентският сертификат е отхвърлен при OCSP проверка в модула stream.
Други значими нововведения:
- HTTP Early Hints (103): Сървърът може да изпраща предварителни заглавия, без да изчаква пълното генериране на отговор от бекенда, което ускорява зареждането на страниците.
- Encrypted ClientHello (ECH): Функция за конфиденциалност TLS, която прикрива името на запитвания сайт от мрежовите наблюдатели.
- Sticky Sessions: Директивата sticky в блока upstream осигурява „прикачване“ на сесиите на клиента към определен сървъра бекенд.
- Multipath TCP (MPTCP): Поддръжка на параметъра multipath в директивата listen за повишаване на устойчивостта на откази и пропускната способност на транспортно ниво.
- Keep-Alive: По подразбиране стойността на proxy_http_version е променена на 1.1, а заглавието Connection вече не се изпраща от проксито,сървъркоето подобрява повторното използване на връзките.
- OpenSSL 4.0: Осигурена е съвместимост с предстоящата основна версия на криптографската библиотека.
- geo модул: Директивата include в блока geo сега поддържа символи wildcard.
Източник: linux.org.ru
