দুর্বলতা সংশোধনের মাধ্যমে nginx 1.31.7 এবং njs 1.0.2 আপডেট করুন।

মূল এনজিনএক্স ১.৩১.৭ ব্রাঞ্চটি প্রকাশ করা হয়েছে, যেখানে নতুন ফিচারগুলোর উন্নয়ন অব্যাহত রয়েছে। এর সমান্তরাল স্থিতিশীল ব্রাঞ্চ, এনজিনএক্স ১.৩০.৬-ও প্রকাশ করা হচ্ছে, যাতে শুধুমাত্র গুরুতর বাগ এবং দুর্বলতা সংশোধনের সাথে সম্পর্কিত পরিবর্তনগুলো রয়েছে। এই আপডেটগুলো পাঁচটি দুর্বলতার সমাধান করে:

• CVE-2026-15176 - ব্যবহারের সময় একটি বাফার ওভারফ্লো ঘটে
  কনফিগারেশনে থাকা "alias" নির্দেশাবলী যা একটি নির্দেশিকার মাধ্যমে অনুরোধ URI পরিবর্তন করে
  পুনরায় লেখার পর ফাইলটিতে পুনঃনির্দেশনা।
• CVE-2026-93479 - ভেরিয়েবল সহ স্ট্রিং এক্সপ্রেশন এক্সিকিউট করার সময় একটি বাফার ওভারফ্লো ঘটে এবং এটি রুট ডিরেক্টরির পাথ গণনা করার সময় এবং http ও stream মডিউলে রিকোয়েস্ট লগ করার সময় প্রকাশ পায়।
• CVE-2026-95101 — HTTP/3-এ ত্রুটিপূর্ণ ফ্রেম প্রেরণের মাধ্যমে "client_max_body_size" সীমাবদ্ধতা এড়িয়ে যাওয়া এবং একটি প্রক্সি করা অনুরোধে তৃতীয় পক্ষের ডেটা প্রতিস্থাপন করা, যার কিছু বিষয়বস্তু অনুরোধের মূল অংশ হিসাবে প্রক্রিয়া করা যেতে পারে।
• CVE-2026-97629 - রোটেশনের সময় সেশন কীগুলির মধ্যে একটিকে অনির্দিষ্ট রেখে দেওয়ার কারণে TLS সেশন স্পুফিং।
• CVE-2026-97205 - অ্যাসিঙ্ক্রোনাস I/O (AIO)-এর সাথে একত্রে SSI পেজে "include virtual" কমান্ড ব্যবহার করার সময় একটি ইউজ-আফটার-ফ্রি দুর্বলতা দেখা দেয়।

nginx 1.31.7-এ দুর্বলতা-সম্পর্কিত নয় এমন পরিবর্তনসমূহ:

• ngx_http_geoip_module এবং ngx_stream_geoip_module মডিউলগুলিতে MaxMind (MMDB) ফরম্যাটের ডেটাবেসের জন্য সমর্থন যোগ করা হয়েছে।
• আইপি অ্যাড্রেস দ্বারা যাচাই করার সুবিধা চালু করা হয়েছে। SSL সার্টিফিকেটব্যাকএন্ডে ব্যবহৃত হয়।
• সেটিংসে `quic_bpf` ডিরেক্টিভ ব্যবহার করার সময় এক্সিকিউটেবল ফাইলটি পুনঃকনফিগার এবং আপডেট করার সুবিধা চালু করা হয়েছে।
• ngx_http_v2_module মডিউলটি একটি অগ্রাধিকার পরিকল্পনা বাস্তবায়ন করে যা RFC 9218-এর সাথে সঙ্গতিপূর্ণ।

Njs 1.0.2, যা Nginx HTTP সার্ভারে একটি জাভাস্ক্রিপ্ট ইন্টারপ্রেটার সংহত করার মডিউল, এখন উপলব্ধ। Njs কনফিগারেশন ফাইলে জাভাস্ক্রিপ্ট স্ক্রিপ্ট ব্যবহারের মাধ্যমে Nginx-এর সক্ষমতা বৃদ্ধি করে। স্ক্রিপ্ট ব্যবহার করে উন্নত অনুরোধ প্রক্রিয়াকরণ লজিক নির্ধারণ করা, কনফিগারেশন তৈরি করা, গতিশীলভাবে প্রতিক্রিয়া তৈরি করা, অনুরোধ/প্রতিক্রিয়া পরিবর্তন করা, অথবা ওয়েব অ্যাপ্লিকেশনের সমস্যা সমাধানের জন্য দ্রুত স্টাব তৈরি করা যায়। এই প্রকল্পের কোড C ভাষায় লেখা এবং এটি BSD লাইসেন্সের অধীনে বিতরণ করা হয়।

NJS 1.0.2 নিম্নলিখিত দুর্বলতাগুলো সমাধান করে: ত্রুটিপূর্ণ XML ডেটা পার্স করার সময় মেমরি শেষ হয়ে যাওয়া (CVE-2026-101025) এবং XML অ্যাট্রিবিউট ম্যানিপুলেশনের কারণে স্বাক্ষরিত XML ডকুমেন্ট ভ্যালিডেশনের লঙ্ঘন (CVE-2026-101019)। XMLNode.getAttributeNS() এবং XMLNode.getChildNS() মেথডগুলো যোগ করা হয়েছে। NJS ইঞ্জিনে কম্পাইলেশনের সময় মেমরি খরচ কমানো হয়েছে।

উত্স: opennet.ru