Актуализация на nginx 1.22.1 и 1.23.2 с подобрения на сигурността

Сформиран е изходен вариант на основната версия на nginx 1.23.2, в който продължава развитието на нови възможности, както и издаването на паралелно поддържана стабилна версия на nginx 1.22.1, в която се извършват само изменения, свързани с отстраняване на сериозни грешки и уязвимости.

В новите версии са отстранени две уязвимости (CVE-2022-41741, CVE-2022-41742) в модула ngx_http_mp4_module, използван за организиране на стрийминг на файлове във формат H.264/AAC. Уязвимостите могат да доведат до повреда на паметта или изтичане на съдържание на паметта при обработка на специално форматиран mp4 файл. Възможните последици включват аварийно спиране на работния процес, но не са изключени и други прояви, като например изпълнение на код на. сървър.

Забележително е, че подобна уязвимост вече е била отстранена в модула ngx_http_mp4_module през 2012 година. Освен това, компанията F5 съобщи за подобна уязвимост (CVE-2022-41743) в продукта NGINX Plus, засягаща модула ngx_http_hls_module, който осигурява поддръжка на HLS протокола (Apple HTTP Live Streaming).

Освен отстраняването на уязвимостите в nginx 1.23.2, са предложени следните промени:

• Добавена е поддръжка на променливи "$proxy_protocol_tlv_*", в които се записват стойностите на полетата TLV (Type-Length-Value), присъстващи в протокола Type-Length-Value PROXY v2.
• Осигурена е автоматична ротация на ключовете за криптиране за сесийните билети TLS, използвана при работа с споделена памет в директивата ssl_session_cache.
• Нивото на логиране за грешки, свързани с некоректен тип записи SSL, е намалено от критично до информационно ниво.
• Нивото на логиране за съобщения за невъзможност за заделяне на памет за нова сесия е променено от alert на warn и е ограничено до извеждане на едно съобщение в секунда.
• На платформата Windows е наложена сборка с OpenSSL 3.0.
• Установено е отразяване в логовете на грешки на PROXY протокола.
• Отстранен е проблем, при който таймаутът, указан в директивата "ssl_session_timeout", не работеше при използване на TLSv1.3 на OpenSSL или BoringSSL.

Източник: opennet.ru