Efter et års udvikling har Nginx-projektet annonceret udgivelsen af den nye stabile version 1.30.0. I forbindelse med forberedelsen af den stabile version er seks sårbarheder blevet rettet, hvoraf fire vedrører modulet til behandling af mediefiler og autentifikationsprotokoller. Den vigtigste ændring er støtten til HTTP/3 og QUIC, som nu betragtes som klar til produktionsmiljøet.
Rettede sårbarheder:
- CVE-2026-27654: Buffer-overløb ved behandling af COPY- eller MOVE-anmodninger i et location med alias-direktivet kan tillade en angriber at overskride rodmappen for hjemmesiden.
- CVE-2026-27784: En specielt udformet MP4-fil kan forårsage nedbrud af arbejdsprocessen på 32-bit platforme.
- CVE-2026-27651: Segmenteringsfejl i arbejdsprocessen ved brug af CRAM-MD5- eller APOP-autentifikationsmetoder med aktiveret autentificeringsgentagelse.
- CVE-2026-28753: Brug af PTR DNS-poster til injektion af data i auth_http-anmodninger og XCLIENT-kommandoen i SMTP-forbindelsen til backend.
- CVE-2026-28755: Succesfuld afslutning SSL-handshake, på trods af afvisning af klientcertifikatet under OCSP-kontrol i stream-modulet.
Andre væsentlige nyheder:
- HTTP Early Hints (103): Serveren kan sende forudsigende overskrifter uden at vente på den fuldstændige generering af svaret fra backend, hvilket fremskynder sideindlæsningen.
- Encrypted ClientHello (ECH): En TLS-funktion for beskyttelse af privatlivets fred, der skjuler navnet på den anmodede hjemmeside for netværksovervågere.
- Sticky Sessions: Direktivet sticky i upstream-blokken sikrer 'binding' af klient-sessioner til en bestemt server backend.
- Multipath TCP (MPTCP): Støtte til multipath-parameteret i listen-direktivet for at øge fejltolerance og båndbredde på transportniveauet.
- Keep-Alive: Standardværdien for proxy_http_version er ændret til 1.1, og Connection-headeren sendes ikke længere af proxyen,serveren, hvilket forbedrer genbrug af forbindelser.
- OpenSSL 4.0: Sikret kompatibilitet med den kommende store version af kryptografibiblioteket.
- geo-modul: Direktivet include inden for geo-blokken understøtter nu wildcard-tegn.
Kilde: linux.org.ru
