Udgaven af hovedversionen nginx 1.31.6 er offentliggjort, hvor udviklingen af nye funktioner fortsætter. I den samtidig understøttede stabile version 1.30.x foretages kun ændringer relateret til reparation af alvorlige fejl og sårbarheder. I fremtiden vil en stabil version 1.32 blive dannet på basis af hovedversionen 1.31.x. Projektet er skrevet i C og distribueres under BSD-licensen.
I den nye udgave er en sårbarhed (CVE-2026-90439) i modulet ngx_http_v3_module blevet afhjulpet, hvilket fører til buffer overflow ved manipulation af parametre under forhandlingen af TLS-forbindelsen. Det hævdes, at angriberen ikke kan kontrollere data, der skrives til området uden for bufferen, og sårbarheden begrænses til denial-of-service eller datacorruption. Problemet optræder fra version nginx 1.29.2 i konfigurationer, der er bygget med OpenSSL 3.5.0 og tidligere versioner.
Af andre ændringer nævnes fejlretning og overgangen til at ignorere alle parametre i transportprotokollen QUIC, modtaget under etableringen af TLS-forbindelsen.
Kilde: opennet.ru
