Udgivelsen af den primære gren nginx 1.29.7 er blevet dannet, hvor der fortsat arbejdes på nye funktioner, samt udgivelsen af den parallelt understøttede stabile gren nginx 1.28.3, som kun modtager ændringer relateret til at rette alvorlige fejl og sårbarheder. I opdateringerne er der blevet rettet 6 sårbarheder, hvoraf tre kan forårsage buffer overflow. Fire sårbarheder er blevet tildelt et højt fareniveau (8.8 eller 8.5 ud af 10).
- CVE-2026-27654 — buffer overflow i ngx_http_dav_module, der opstår ved behandling af WebDAV-anmodninger COPY og MOVE, når der bruges 'alias'-direktivet i 'location'-blokke. Sårbarheden muliggør ændring af filstier for at tilgå uden for basisbiblioteket. Problemet blev identificeret ved brug af AI-modellen Claude.
- CVE-2026-27784, CVE-2026-32647 — buffer overflows i ngx_http_mp4_module, der opstår ved behandling af specielt udformede mp4-filer. Det kan ikke udelukkes, at udnyttelsen af sårbarheden ikke begrænser sig til at afslutte arbejdsprocessen.
- CVE-2026-27651 — dereferering af nulpegere ved forkert brug af autentificeringsmetoderne CRAM-MD5 eller APOP.
- CVE-2026-28753 — mulighed for manipulation med PTR-poster i DNS for at indsætte angriberens data i auth_http-anmodninger og XCLIENT-kommandoen i SMTP-forbindelsen til backend.
- CVE-2026-28755 — omgåelse af resultatet af OCSP-bekræftelsen af certifikatet i stream-modulet.
Blandt de ikke-sikkerhedsrelaterede ændringer i nginx 1.29.7
- Understøttelse af Multipath TCP-protokollen (MPTCP) er tilføjet, hvilket muliggør levering af pakker samtidig ad flere ruter gennem forskellige netværksinterfacer. For at aktivere det er parameteren "multipath" tilføjet til "listen"-direktivet.
- I 'keepalive'-direktivet, der bruges i 'upstream'-blokken, er parameteren 'local' tilføjet. Når denne parameter angives, i stedet for at dele en forbindelse til en fælles upstream-server nævnt i forskellige 'location' og 'server'-blokke, opretholdes en separat forbindelse til upstream for hver blok.
- I 'upstream'-blokken er 'keepalive'-direktivet aktiveret som standard.
- Ved brug i proxy-tilstand er HTTP/1.1 protokolversionen angivet som standard med aktivering af keep-alive-tilstand (i ngx_http_proxy_module er understøttelse af keep-alive som standard aktiveret, og værdien '1.1' er angivet i 'proxy_http_version'-direktivet, og afsendelse af 'Connection'-overskriften er stoppet som standard). For at vende tilbage til den gamle adfærd, der tillader adgang til backends, der kun understøtter HTTP/1.0, skal indstillingerne angives: proxy_http_version 1.0; proxy_set_header Connection 'Close';
Kilde: opennet.ru
