Mae prif gangen nginx 1.23.2 wedi'i ryddhau, lle mae datblygiad nodweddion newydd yn parhau, yn ogystal Γ’ rhyddhau'r gangen sefydlog Γ’ chymorth cyfochrog o nginx 1.22.1, sydd ond yn cynnwys newidiadau sy'n ymwneud Γ’ dileu gwallau difrifol a gwendidau.
Mae'r fersiynau newydd yn dileu dau wendid (CVE-2022-41741, CVE-2022-41742) yn y modiwl ngx_http_mp4_module, a ddefnyddir i drefnu ffrydio o ffeiliau yn y fformat H.264/AAC. Gallai'r gwendidau arwain at lygredd cof neu ollyngiad cof wrth brosesu ffeil mp4 wedi'i saernΓ―o'n arbennig. O ganlyniad, sonnir am derfynu proses waith ar frys, ond nid yw amlygiadau eraill wedi'u heithrio, megis trefniadaeth gweithredu cod ar y gweinydd.
Mae'n werth nodi bod bregusrwydd tebyg eisoes yn sefydlog yn y modiwl ngx_http_mp4_module yn 2012. Yn ogystal, nododd F5 fregusrwydd tebyg (CVE-2022-41743) yn y cynnyrch NGINX Plus, sy'n effeithio ar y modiwl ngx_http_hls_module, sy'n darparu cefnogaeth i brotocol HLS (Apple HTTP Live Streaming).
Yn ogystal Γ’ dileu gwendidau, cynigir y newidiadau canlynol yn nginx 1.23.2:
- Ychwanegwyd cefnogaeth i'r newidynnau β$ proxy_protocol_tlv_*β, sy'n cynnwys gwerthoedd y meysydd TLV (Math-Hyd-Gwerth) sy'n ymddangos yn y protocol Math-Length-Value PROXY v2.
- Wedi darparu cylchdro awtomatig o allweddi amgryptio ar gyfer tocynnau sesiwn TLS, a ddefnyddir wrth ddefnyddio cof a rennir yn y gyfarwyddeb ssl_session_cache.
- Mae'r lefel logio ar gyfer gwallau sy'n ymwneud Γ’ mathau anghywir o gofnodion SSL wedi'i gostwng o lefel hanfodol i lefel gwybodaeth.
- Mae lefel logio negeseuon am yr anallu i ddyrannu cof ar gyfer sesiwn newydd wedi'i newid o rybudd i rybudd ac mae'n gyfyngedig i allbynnu un cofnod yr eiliad.
- Ar blatfform Windows, mae cynulliad gydag OpenSSL 3.0 wedi'i sefydlu.
- Adlewyrchiad gwell o wallau protocol PROXY yn y log.
- Wedi datrys mater lle nad oedd yr amser terfyn a nodir yn y gyfarwyddeb "ssl_session_timeout" yn gweithio wrth ddefnyddio TLSv1.3 yn seiliedig ar OpenSSL neu BoringSSL.
Ffynhonnell: opennet.ru