Byla vydána hlavní větev nginx 1.31.2, která pokračuje ve vývoji nových funkcí. Vydává se také paralelní stabilní větev nginx 1.30.3, která obsahuje pouze změny týkající se opravy závažných chyb a zranitelností. Tyto aktualizace řeší tři zranitelnosti:
- CVE-2026-42530 je zranitelnost typu „use-after-free“ v implementaci protokolu HTTP/3. Této chybě byla přiřazena kritická úroveň závažnosti (9.2 z 10), která nevylučuje vzdálené spuštění kódu s oprávněními pracovního procesu při zpracování speciálně vytvořené relace QUIC.
- CVE-2026-42055 je chyba přetečení vyrovnávací paměti v modulech ngx_http_proxy_v2_module a ngx_http_grpc_module, ke které dochází při proxyování speciálně vytvořených požadavků přes protokol HTTP/2 nebo do backendu gRPC. Problém je hodnocen jako kritický (9.2 z 10) a umožňuje vzdálené spuštění kódu. Zranitelnost se projevuje v konfiguracích s nastavením
„ignore_invalid_headers off;“ a větší hodnotu „large_client_header_buffers“. - CVE-2026-48142 — Při zpracování speciálně vytvořených požadavků, které vedou k kódování textu UTF-8 pomocí modulu ngx_http_charset_module, dochází k chybě čtení mimo hranice. Tato zranitelnost se vyskytuje v konfiguracích s direktivou „charset_map“, když jsou v bloku location přítomny direktivy „source_charset utf-8“ a „charset other_charset“. Tento problém je hodnocen jako středně závažný (6.3 z 10), což umožňuje únik paměti v pracovním procesu.
Kromě oprav zranitelností přidává nginx 1.31.2 proměnnou $ssl_sigalgs, která obsahuje algoritmy digitálního podpisu deklarované klientem ve zprávě ClientHello během vyjednávání TLS připojení. Pro generování identifikátoru předávaného prostřednictvím proměnné $request_id se používá hašovací algoritmus SipHash-2-4.
Zdroj: opennet.ru
