Aktualizace nginx 1.31.7 a njs 1.0.2 s odstraněním zranitelností

Byla vydána nová verze hlavní větve nginx 1.31.7, v rámci níž je pokračováno ve vývoji nových funkcí, a také byla vydána paralelně podporovaná stabilní větev nginx 1.30.6, do které jsou přidávány pouze změny související s odstraněním závažných chyb a zranitelností. V aktualizacích bylo odstraněno 5 zranitelností:

• CVE-2026-15176 — přetečení zásobníku, projevující se při použití
  direktivy „alias“ v konfiguracích, které mění URI požadavku pomocí direktivy
  „rewrite“ s dalším přesměrováním na soubor.
• CVE-2026-93479 — přetečení zásobníku, které vzniká při vykonávání řetězcových výrazů s proměnnými a projevuje se při výpočtu cesty k kořenovému adresáři a při logování požadavků v modulech http a stream.
• CVE-2026-95101 — obcházení omezení „client_max_body_size“ a vkládání cizích dat do proxy požadavku prostřednictvím předání neplatných rámců v HTTP/3, jejichž část obsahu mohla být zpracována jako tělo požadavku.
• CVE-2026-97629 — podvržení TLS sezení kvůli ponechání jednoho ze session key neinicilizovaným během rotace.
• CVE-2026-97205 — přístup k paměti po jejím uvolnění (use-after-free), který vzniká při použití na SSI stránkách příkazů „include virtual“ v kombinaci s použitím asynchronního vstupu/výstupu (AIO).

Nevztahující se k zranitelnostem změny v nginx 1.31.7:

• Do modulů ngx_http_geoip_module a ngx_stream_geoip_module byla přidána podpora databází ve formátu MaxMind (MMDB).
• Byla realizována možnost kontroly podle IP adresy SSL certifikátů, používaných na backendu.
• Byly implementovány možnosti přeconfigurace a aktualizace spustitelného souboru při použití v nastavení direktivy quic_bpf.
• V modulu ngx_http_v2_module byla implementována schéma rozložení priorit odpovídající RFC 9218.

Současně je k dispozici vydání njs 1.0.2, modulu pro integraci interpretru jazyka JavaScript do http serveru nginx. Njs umožňuje používat JavaScriptové skripty v konfiguračních souborech pro rozšíření funkcí nginx. Skripty mohou být použity k určení rozšířené logiky zpracování požadavků, formování konfigurace, dynamické generování odpovědí, modifikaci požadavku/odpovědi nebo rychlému vytvoření zástupců pro řešení problémů ve webových aplikacích. Kód projektu je napsán v C a je distribuován pod licencí BSD.

Ve vydání njs 1.0.2 byly odstraněny zranitelnosti: vyčerpání dostupné paměti při analýze nesprávných XML dat (CVE-2026-101025) a porušení kontroly podepsaného XML dokumentu manipulací s XML atributy (CVE-2026-101019). Byly přidány metody XMLNode.getAttributeNS() a XMLNode.getChildNS(). Byla snížena spotřeba paměti při kompilaci v jádru njs.

Zdroj: opennet.ru