Byl představen první vydání nové hlavní větve nginx 1.21.0, v rámci které bude pokračováno ve vývoji nových funkcí. Současně byl připraven opravný vydání paralelně podporované stabilní větve 1.20.1, ve které jsou prováděny pouze změny související s odstraněním vážných chyb a zranitelností. V příštím roce bude na základě hlavní větve 1.21.x vytvořena stabilní větev 1.22.
V nových verzích byla odstraněna zranitelnost (CVE-2021-23017) v kódu pro řešení názvů hostitelů v DNS, která může vést k pádu nebo potenciálně k vykonání kódu útočníka. Problém se projevuje při zpracování určitých odpovědí DNS serveru, které způsobují jednobajtové přetečení bufferu. Zranitelnost se projevuje pouze při zapnutí v nastavení DNS resolveru pomocí direktivy „resolver“. K provedení útoku musí útočník mít možnost podvrhnout UDP pakety od DNS serveru nebo získat kontrolu nad DNS serverem. Zranitelnost se projevuje od vydání nginx 0.6.18. Pro odstranění problému ve starých vydáních lze použít patch.
Změny v nginx 1.21.0, které nejsou bezpečnostní:
- Do direktiv „proxy_ssl_certificate“, „proxy_ssl_certificate_key“, „grpc_ssl_certificate“, „grpc_ssl_certificate_key“, „uwsgi_ssl_certificate“ a „uwsgi_ssl_certificate_key“ byla přidána podpora proměnných.
- Do poštovního proxy modulu byla přidána podpora „pipelining“ pro přenos několika požadavků POP3 nebo IMAP v jednom spojení, a také byla přidána nová direktiva „max_errors“, která určuje maximální počet chyb protokolu, po kterých bude spojení uzavřeno.
- Do modulu stream byl přidán parametr „fastopen“, který zapíná režim „TCP Fast Open“ pro naslouchající sokety.
- Byly vyřešeny problémy s escapováním speciálních znaků při automatickém přesměrování s přidáním lomítka na konec.
- Byl vyřešen problém s uzavíráním spojení se zákazníky při použití SMTP pipelining.
Zdroj: opennet.ru
