Nginx 1.29.8 и FreeNginx 1.29.7

Публикувано основно издание nginx 1.29.8, в която продължава развитието на нови възможности. В паралелно поддържаната стабилна клонка 1.28.x се внасят само изменения, свързани с отстраняване на сериозни грешки и уязвимости. В бъдеще на базата на основния клон 1.29.x ще бъде формирана стабилна клонка 1.30. Кодът на проекта е написан на езика C и се разпространява под лиценз BSD.

В ново издание:

• Добавена е директива max_headers, ограничаващ максималния брой HTTP заглавия в заявката. При надвишаване на лимита се връща грешка 400 (Bad Request). Възможността е пренесена от FreeNginx.
• Осигурена е съвместимост с библиотеката OpenSSL 4.0, която е в етап на алифа-тестиране.
• Разрешено е използването на маски в директивата include, посочена вътре в блока "geo".
• Отстранена е грешка в обработката на HTTP отговори с код 103 (Early Hints), връщани от проксиран backend.
• Отстранено е непоставянето на променливите $request_port и $is_request_port в подзаявките.

Допълнително може да се отбележи публикуването на релиза на проекта FreeNginx 1.29.7, развиващ форка Nginx. Разработката на форка се води от Максим Дунин, един от ключовите разработчици на Nginx. FreeNginx се позиционира като некомерсиален проект, осигуряващ разработката на кодовата база на Nginx без корпоративна намеса. Кодът на FreeNginx продължава да се предоставя под лицензия BSD. В новата версия осигурена е съвместимост с OpenSSL 4.0. Отстранено е преливането на буфера (CVE-2026-27654) в модула ngx_http_dav_module, възникващо при обработка на WebDAV заявки COPY и MOVE при използване в блоковете location на директивата alias. Отстранена е възможността за манипулация с PTR записи в DNS за подмяна на данни на атакуващия (CVE-2026-28753) в заявки auth_http и команда XCLIENT в SMTP връзка с backend.

Източник: linux.org.ru