Byl vydán hlavní vydání nginx 1.23.2, v rámci kterého pokračuje vývoj nových funkcí, a zároveň byla vydána paralelně podporovaná stabilní větev nginx 1.22.1, do které jsou přidávány pouze opravy vážných chyb a zranitelností.
V nových verzích byly odstraněny dvě zranitelnosti (CVE-2022-41741, CVE-2022-41742) v modulu ngx_http_mp4_module, který se používá pro streamování obsahu z H.264/AAC souborů. Zranitelnosti mohou vést k poškození paměti nebo její únik při zpracování speciálně upraveného mp4 souboru. Mezi důsledky patří havarijní ukončení pracovního procesu, nicméně nejsou vyloučeny ani jiné projevy, včetně spouštění kódu na serveru.
Je zajímavé, že podobná zranitelnost byla již opravena v modulu ngx_http_mp4_module v roce 2012. Dále společnost F5 informovala o podobné zranitelnosti (CVE-2022-41743) v produktu NGINX Plus, která se týká modulu ngx_http_hls_module, který poskytuje podporu pro protokol HLS (Apple HTTP Live Streaming).
Kromě odstranění zranitelností v nginx 1.23.2 byla navržena následující zlepšení:
- Byla přidána podpora pro proměnné „$proxy_protocol_tlv_*“, do kterých se zapisují hodnoty polí TLV (Type-Length-Value), nacházejících se v protokolu Type-Length-Value PROXY v2.
- Byla zajištěna automatická rotace šifrovacích klíčů pro TLS session tickets, která se používá při použití sdílené paměti v direktivě ssl_session_cache.
- Úroveň logování pro chyby spojené s nesprávným typem záznamů SSL, byla snížena z kritického na informační úroveň.
- Úroveň logování pro zprávy o nemožnosti alokovat paměť pro novou relaci byla změněna z alert na warn a omezena na výstup jedné zprávy za sekundu.
- Na platformě Windows byla nastavena sestavení s OpenSSL 3.0.
- Bylo zavedeno zaznamenávání chyb protokolu PROXY.
- Byl vyřešen problém, při kterém v případě použití TLSv1.3 na základě OpenSSL nebo BoringSSL nefungoval timeout uvedený v direktivě „ssl_session_timeout“.
Zdroj: opennet.ru
