Създаден е нов релиз на основната версия на nginx 1.25.4, в който продължава развитието на нови възможности. В паралелно поддържаната стабилна версия 1.24.x се правят само промени, свързани с отстраняване на сериозни грешки и уязвимости. В бъдеще на базата на основната версия 1.25.x ще бъде създадена стабилна версия 1.26. Кодът на проекта е написан на C и се разпространява под лиценза BSD.
В новата версия са отстранени две уязвимости в експерименталния модул http_v3_module (по подразбиране деактивиран), който осигурява поддръжка на протокола HTTP/3, използващ протокола QUIC като транспорт за HTTP/2. Първата уязвимост (CVE-2024-24989) е причинена от разыменоване на нулев указател, а втората (CVE-2024-24990) - от достъп до памет след нейното освобождаване. В списъка с промени е посочено, че и двете уязвимости могат да доведат само до аварийно приключване на работния процес при обработка на специално оформени сесии QUIC, но за втората уязвимост явно не е извършван анализ на по-сериозни последици.
Освен отстраняването на уязвимостите, в новата версия са направени общи подобрения и корекции в реализацията на HTTP/3, както и са отстранени грешки, свързани с изтичане на сокети, грешки в сокетите или аварийно приключване при използване на AIO. Решен е проблемът с преждевременното затваряне на връзките с незавършени AIO операции по време на меко приключване на старите работни процеси. Отстранено е аварийното приключване при пренасочване на грешки с код 415 с помощта на директивата error_page, в случай на използване SSL-на прокси и директивата image_filter.
Освен това, преди няколко дни беше пуснат njs 0.8.4, интерпретатор на JavaScript за веб-сервера nginx. Интерпретаторът njs реализира стандартите на ECMAScript и позволява разширяване на възможностите на nginx за обработка на заявки чрез скриптове в конфигурацията. Скриптовете могат да се използват в конфигурационния файл за определяне на разширена логика за обработка на заявки, формиране на конфигурации, динамично генериране на отговори, модификация на заявки/отговори или бързо създаване на заглушки за решаване на проблеми в уеб приложенията. В новата версия е отбелязано само отстраняване на грешки.
Източник: opennet.ru
