Издание на nginx 1.29.8 и форка FreeNginx 1.29.7

Публикувано изданието на основния клон nginx 1.29.8, в който продължава развитието на нови функции. В паралелно поддържания стабилен клон 1.28.x се внасят само промени, свързани с отстраняване на сериозни грешки и уязвимости. След това на базата на основния клон 1.29.x ще бъде сформиран стабилен клон 1.30. Кодът на проекта е написан на C и се разпространява под лиценз BSD.

В новото издание:

• Добавена е директивата max_headers, ограничаваща максималния брой на HTTP заглавията в заявката. При надвишаване на лимита се връща грешка 400 (Bad Request). Възможността е пренесена от FreeNginx.
• Осигурена е съвместимост с библиотеката OpenSSL 4.0, която е в етап на алфа-тестове.
• Разрешено е използването на маски в директивата «include», посочена вътре в блока «geo».
• Коригирана е грешка в обработката на HTTP отговори с код 103 (Early Hints), връщани от проксирания бекенд.
• Отстранено е невъзможността за задаване на променливите $request_port и $is_request_port в подзаявките.

Допълнително може да се отбележи публикуването на релиза на проекта FreeNginx 1.29.8, развиващ форка на Nginx. Развитието на форка се ръководи от Максим Дунин, един от ключовите разработчици на Nginx. FreeNginx се позиционира като некомерсиален проект, който осигурява разработката на кодовата база на Nginx без корпоративна намеса. Кодът на FreeNginx продължава да се разпространява под лиценз BSD. В новата версия е осигурена съвместимост с OpenSSL 4.0. Отстранено е преливането на буфера (CVE-2026-27654) в модула ngx_http_dav_module, което възниква при обработка на WebDAV заявки COPY и MOVE, когато се използват в блоковете «location» на директивата «alias». Отстранена е възможността за манипулации с PTR записи в DNS за вмъкване на данни от атакуващия (CVE-2026-28753) в заявките auth_http и командата XCLIENT в SMTP връзката с бекенда.

Източник: opennet.ru