এনজিনএক্স 1.22.1 এবং 1.23.2 আপডেট দুর্বলতার সাথে সংশোধন করা হয়েছে

nginx 1.23.2 এর প্রধান শাখা প্রকাশ করা হয়েছে, যার মধ্যে নতুন বৈশিষ্ট্যগুলির বিকাশ অব্যাহত রয়েছে, সেইসাথে nginx 1.22.1 এর সমান্তরাল সমর্থিত স্থিতিশীল শাখা প্রকাশ করা হয়েছে, যা শুধুমাত্র গুরুতর ত্রুটিগুলি দূর করার সাথে সম্পর্কিত পরিবর্তনগুলি অন্তর্ভুক্ত করে এবং দুর্বলতা

নতুন সংস্করণগুলি ngx_http_mp2022_module মডিউলে দুটি দুর্বলতা (CVE-41741-2022, CVE-41742-4) দূর করে, H.264/AAC ফর্ম্যাটে ফাইলগুলি থেকে স্ট্রিমিং সংগঠিত করতে ব্যবহৃত হয়৷ একটি বিশেষভাবে তৈরি mp4 ফাইল প্রক্রিয়া করার সময় দুর্বলতাগুলি মেমরি দুর্নীতি বা মেমরি লিক হতে পারে। একটি কাজের প্রক্রিয়ার একটি জরুরী অবসান একটি ফলাফল হিসাবে উল্লেখ করা হয়, কিন্তু অন্যান্য প্রকাশ বাদ দেওয়া হয় না, যেমন সার্ভারে কোড নির্বাহের সংগঠন।

এটি লক্ষণীয় যে 4 সালে ngx_http_mp2012_module মডিউলে একটি অনুরূপ দুর্বলতা ইতিমধ্যেই সংশোধন করা হয়েছিল। উপরন্তু, এনজিআইএনএক্স প্লাস প্রোডাক্টে F5 অনুরূপ দুর্বলতা (CVE-2022-41743) রিপোর্ট করেছে, যা ngx_http_hls_module মডিউলকে প্রভাবিত করে, যা HLS (Apple HTTP লাইভ স্ট্রিমিং) প্রোটোকলের জন্য সমর্থন প্রদান করে।

দুর্বলতা দূর করার পাশাপাশি, nginx 1.23.2 নিম্নলিখিত পরিবর্তনগুলি প্রস্তাব করে:

• "$proxy_protocol_tlv_*" ভেরিয়েবলের জন্য সমর্থন যোগ করা হয়েছে, যা TLV (Type-Length-Value) ফিল্ডের মান ধারণ করে যা Type-length-Value PROXY v2 প্রোটোকলের মধ্যে দেখা যায়।
• TLS সেশন টিকিটের জন্য এনক্রিপশন কীগুলির স্বয়ংক্রিয় ঘূর্ণন প্রদান করা হয়েছে, ssl_session_cache নির্দেশে ভাগ করা মেমরি ব্যবহার করার সময় ব্যবহৃত হয়।
• ভুল SSL রেকর্ড প্রকারের সাথে সম্পর্কিত ত্রুটির জন্য লগিং স্তর সমালোচনামূলক থেকে তথ্যগত স্তরে নামানো হয়েছে।
• একটি নতুন অধিবেশনের জন্য মেমরি বরাদ্দ করতে অক্ষমতা সম্পর্কে বার্তাগুলির লগিং স্তর সতর্কতা থেকে সতর্ক করার জন্য পরিবর্তন করা হয়েছে এবং প্রতি সেকেন্ডে একটি এন্ট্রি আউটপুট করার মধ্যে সীমাবদ্ধ।
• উইন্ডোজ প্ল্যাটফর্মে, OpenSSL 3.0 সহ সমাবেশ প্রতিষ্ঠিত হয়েছে।
• লগে PROXY প্রোটোকল ত্রুটির উন্নত প্রতিফলন।
• OpenSSL বা BoringSSL এর উপর ভিত্তি করে TLSv1.3 ব্যবহার করার সময় "ssl_session_timeout" নির্দেশে নির্দিষ্ট সময়সীমা কাজ করেনি এমন একটি সমস্যা সমাধান করা হয়েছে।

উত্স: opennet.ru