Den første udgivelse af den nye hovedgren nginx 1.21.0 er præsenteret, hvor udviklingen af nye funktioner fortsættes. Samtidig er en korrektivudgivelse af den parallelt understøttede stabile gren 1.20.1 blevet forberedt, som kun indeholder ændringer vedrørende løsning af alvorlige fejl og sårbarheder. I det kommende år vil der blive dannet en stabil gren 1.22 baseret på hovedgrenen 1.21.x.
De nye versioner løser sårbarheden (CVE-2021-23017) i koden til host-navneopløsning i DNS, som kan føre til nedbrud eller potentielt til eksekvering af ondsindet kode. Problemet opstår ved behandling af bestemte svar fra DNS-serveren, hvilket fører til en one-byte buffer overflow. Sårbarheden opstår kun, hvis DNS-resolveren aktiveres via direktivet "resolver". For at udføre angrebet skal en angriber have mulighed for at forfalske UDP-pakker fra DNS-serveren eller tage kontrol over DNS-serveren. Sårbarheden opstod fra udgivelsen nginx 0.6.18. For at løse problemet i ældre udgaver kan en patch anvendes.
Ændringer i nginx 1.21.0, der ikke er relateret til sikkerhed:
- I direktiverne "proxy_ssl_certificate", "proxy_ssl_certificate_key", "grpc_ssl_certificate", "grpc_ssl_certificate_key", "uwsgi_ssl_certificate" og "uwsgi_ssl_certificate_key" er der tilføjet support for variable.
- I mailproxy-modulet er der tilføjet support for "pipelining" til at sende flere POP3- eller IMAP-anmodninger i en forbindelse, samt er der tilføjet et nyt direktiv "max_errors", der definerer det maksimale antal protokolfejl, hvorefter forbindelsen lukkes.
- I stream-modulet er der tilføjet en parameter "fastopen", der aktiverer "TCP Fast Open"-tilstand for lytte-sockets.
- Der er løst problemer med escape af specialtegn ved automatisk redirect med tilføjelse af skråstregen i slutningen.
- Der er løst et problem med at lukke forbindelser med klienter ved brug af SMTP pipelining.
Kilde: opennet.ru
