Po roce vývoje projekt Nginx oznámil vydání nové stabilní verze 1.30.0. V rámci přípravy stabilní verze bylo opraveno šest zranitelností, čtyři z nich se týkají modulu pro zpracování mediálních souborů a autentizačních protokolů. Klíčovou změnou je podpora HTTP/3 a QUIC, která je nyní považována za připravenou pro produkční prostředí.
Opravené zranitelnosti:
- CVE-2026-27654: Přetečení vyrovnávací paměti při zpracování žádostí COPY nebo MOVE v umístění s direktivou alias může umožnit útočníkovi překročit kořenový adresář webu.
- CVE-2026-27784: Speciálně vytvořený MP4 soubor může způsobit pád pracovního procesu na 32bitových platformách.
- CVE-2026-27651: Chyba segmentace v pracovním procesu při použití autentizačních metod CRAM-MD5 nebo APOP s povolenou opakovanou autentizací.
- CVE-2026-28753: Použití PTR DNS záznamů pro vkládání dat do auth_http požadavků a příkazu XCLIENT v SMTP spojení na pozadí.
- CVE-2026-28755: Úspěšné dokončení SSL- handshake, přestože byl klientský certifikát odmítnut během OCSP ověření v modulu stream.
Další významné novinky:
- HTTP Early Hints (103): Server může posílat předběžné hlavičky, aniž by čekal na úplné vygenerování odpovědi z backendu, což zrychluje načítání stránek.
- Encrypted ClientHello (ECH): Funkce soukromí TLS skrývá název požadovaného webu před síťovými pozorovateli.
- Sticky Sessions: Direktiva sticky v bloku upstream zajišťuje «připoutání» klientských relací k určitému serveru backendu.
- Multipath TCP (MPTCP): Podpora parametru multipath v direktivě listen pro zvýšení odolnosti a propustnosti na transportní úrovni.
- Keep-Alive: Výchozí hodnota proxy_http_version byla změněna na 1.1 a hlavička Connection již není posílána proxy,serveremcož zlepšuje opětovné využití připojení.
- OpenSSL 4.0: Zajištěna kompatibilita s blížící se major verze kryptografické knihovny.
- geo modul: Direktiva include uvnitř bloku geo nyní podporuje zástupné symboly.
Zdroj: linux.org.ru
