Byla vydána hlavní verze nginx 1.29.7, v rámci které pokračuje vývoj nových funkcionalit, a také byla vydána paralelně podporovaná stabilní verze nginx 1.28.3, do které jsou implementovány pouze změny spojené s opravou závažných chyb a zranitelností. V aktualizacích bylo odstraněno 6 zranitelností, z nichž tři vedou k přetečení zásobníku. Čtyřem zranitelnostem byla přiřazena vysoká úroveň nebezpečnosti (8.8 nebo 8.5 z 10).
- CVE-2026-27654 — přetečení zásobníku v modulu ngx_http_dav_module, které nastává při zpracování WebDAV požadavků COPY a MOVE použitých v blocích "location" s direktivou "alias". Zranitelnost umožňuje změnit cesty k souborům pro přístup mimo základní adresář. Problém byl identifikován za použití AI modelu Claude.
- CVE-2026-27784, CVE-2026-32647 — přetečení zásobníků v modulu ngx_http_mp4_module, které se vyskytuje při zpracování speciálně připravených mp4 souborů. Není vyloučeno, že zneužití zranitelnosti neomezuje pouze na havarijní ukončení pracovního procesu.
- CVE-2026-27651 — dereference nulového ukazatele při nesprávném použití autentizačních metod CRAM-MD5 nebo APOP.
- CVE-2026-28753 — možnost manipulace s PTR záznamy v DNS pro vkládání dat útočníka do požadavků auth_http a příkazu XCLIENT v SMTP spojení k backendu.
- CVE-2026-28755 — obcházení výsledku OCSP kontroly certifikátu v modulu stream.
Mezi změnami, které nesouvisí s bezpečností, v nginx 1.29.7
- Byla přidána podpora protokolu Multipath TCP (MPTCP), který umožňuje doručovat pakety současně přes několik tras prostřednictvím různých síťových rozhraní. Do direktivy „listen“ byl přidán parametr „multipath“.
- Do direktivy "keepalive", která se používá v bloku "upstream", byl přidán parametr "local". Při uvedení tohoto parametru se pro každý blok udržuje samostatné připojení k upstream serveru, který je zmíněn v různých blocích location a server, namísto sdílení jednoho připojení.
- V bloku "upstream" byla výchozím způsobem aktivována direktiva "keepalive".
- Při použití v režimu proxy byla výchozí verzí protokolu HTTP/1.1 s povolením režimu keep-alive (v modulu ngx_http_proxy_module byla výchozí podpora keep-alive povolena a byla nastavena hodnota "1.1" v direktivě "proxy_http_version" a odesílání hlavičky "Connection" bylo ve výchozím stavu zastaveno). Pro návrat ke starému chování, které umožňuje připojení k backendům, které podporují pouze HTTP/1.0, je nutné nastavit: proxy_http_version 1.0; proxy_set_header Connection "Close";
Zdroj: opennet.ru
