Dopu un annu di sviluppu, u prugettu Nginx hà annunziatu a liberazione di una nova branca stabile, 1.30.0. Sei vulnerabilità sò state riparate durante a preparazione di sta versione stabile, quattru di e quali eranu ligate à u modulu di trasfurmazione di i fugliali multimediali è à i protokolli di autenticazione. Un cambiamentu chjave hè statu u supportu per HTTP/3 è QUIC, chì hè avà cunsideratu prontu per a pruduzzione.
Vulnerabilità fissi:
- CVE-2026-27654: Un buffer overflow durante l'elaborazione di richieste COPY o MOVE in un locu cù una direttiva alias puderia permette à un attaccante di scappà da u cartulare principale di u situ.
- CVE-2026-27784: Un schedariu MP4 apposta pò causà un crash nantu à e piattaforme 32-bit.
- CVE-2026-27651: Un errore di segmentazione hè accadutu in un flussu di travagliu quandu si utilizanu i metudi d'autentificazione CRAM-MD5 o APOP cù a ripetizione di l'autentificazione attivata.
- CVE-2026-28753: Utilizendu i registri DNS PTR per injectà dati in e richieste auth_http è u cumandamentu XCLIENT in a cunnessione SMTP backend.
- CVE-2026-28755: Cumpletamentu successu SSL-strette di manu, malgradu u rigettu di u certificatu di u cliente da a verificazione OCSP in u modulu di flussu.
Altre innovazioni significative:
- Cunsiglii iniziali HTTP (103): U servitore pò mandà intestazioni pruvisorie senza aspittà chì u backend generi cumpletamente a risposta, ciò chì accelera u caricamentu di a pagina.
- ClientHello criptatu (ECH): Una funzione di privacy TLS chì piatta u nome di u situ dumandatu da l'osservatori di a rete.
- Sessioni Appiccicose: A direttiva sticky in u bloccu upstream assicura chì e sessioni di u cliente sò "ligate" à un specificu servitore backend.
- TCP multipercorsu (MPTCP): Supportu per u parametru multipath in a direttiva listen per migliurà a tolleranza à i guasti è u rendimentu à u livellu di trasportu.
- Mantene in vita: U valore predefinitu di proxy_http_version hè statu cambiatu à 1.1 è l'intestazione di cunnessione ùn hè più mandata da u proxy.servitore, chì migliora u riutilizazione di e cunnessione.
- OpenSSL 4.0: A cumpatibilità cù a prossima versione maiò di a biblioteca crittografica hè stata assicurata.
- geo-modulu: A direttiva include in u bloccu geo avà supporta i caratteri jolly.
Source: linux.org.ru
