Udgivelsen af hovedgrenen nginx 1.23.2 er blevet formet, hvor der fortsætter udviklingen af nye funktioner, samt udgivelsen af den parallelle stabile gren nginx 1.22.1, som kun modtager ændringer relateret til rettelse af alvorlige fejl og sårbarheder.
I de nye versioner er to sårbarheder (CVE-2022-41741, CVE-2022-41742) blevet rettet i modulet ngx_http_mp4_module, der anvendes til streaming fra filer i H.264/AAC format. Sårbarhederne kan føre til hukommelsesskader eller hukommelseslækager ved behandling af specielt formatere mp4-filer. Som følge heraf kan der nævnes utilsigtet processtop, men der kan også forekomme andre manifestationer, såsom udførelse af kode. serveren.
Det er bemærkelsesværdigt, at en lignende sårbarhed allerede blev rettet i modulet ngx_http_mp4_module tilbage i 2012. Desuden rapporterede F5 om en lignende sårbarhed (CVE-2022-41743) i produktet NGINX Plus, som berører modulet ngx_http_hls_module, der understøtter HLS-protokollen (Apple HTTP Live Streaming).
Ud over at rette sårbarhederne i nginx 1.23.2 er der foreslået følgende ændringer:
- Understøttelse af variablerne «$proxy_protocol_tlv_*» er blevet tilføjet, hvori værdierne for TLV-felter (Type-Length-Value) i Type-Length-Value PROXY v2-protokollen gemmes.
- Automatisk rotation af krypteringsnøgler til TLS-sessionstickets er blevet sikret, hvilket anvendes ved brug af delt hukommelse i ssl_session_cache-direktivet.
- Logniveauet for fejl relateret til ukorrekte typer af poster SSL, er blevet sænket fra kritisk til informationsniveau.
- Logniveauet for meddelelser om manglende evne til at tildele hukommelse til en ny session er ændret fra alert til warn og er begrænset til at vise én post per sekund.
- På Windows-platformen er der etableret en opbygning med OpenSSL 3.0.
- Der er oprettet refleksion i loggen for PROXY-protokolfejl.
- Der er løst et problem, hvor timeout, angivet i direktivet «ssl_session_timeout», ikke fungerede ved brug af TLSv1.3 baseret på OpenSSL eller BoringSSL.
Kilde: opennet.ru
