Die Hauptversion nginx 1.27.4 wurde veröffentlicht, in der die Entwicklung neuer Funktionen fortgesetzt wird, während zeitgleich die stabile Version nginx 1.26.3 weiterhin unterstützt wird, in die nur Änderungen zur Behebung kritischer Fehler und Sicherheitslücken aufgenommen werden. In den Updates wurde die Sicherheitslücke (CVE-2025-23419) behoben, die es ermöglicht, die Überprüfung von Client-TLS-Zertifikaten zu umgehen.
Die Sicherheitslücke entstand durch fehlende ordnungsgemäße Prüfungen bei der Verarbeitung von virtuellen Hosts, die an eine gemeinsame IP-Adresse und Portnummer gebunden sind, und die bei Zugriff über HTTPS anhand des im TLS-SNI-Extension angegebenen Domainnamens ausgewählt werden. In solchen Konfigurationen konnte ein Angreifer eine TLS-Sitzung im Kontext eines anderen virtuellen Hosts wiederverwenden, um die Authentifizierung über das Client-TLS-Zertifikat zu umgehen. Das Problem tritt in Konfigurationen auf, die die Wiederaufnahme von TLS-Sitzungen mittels 'TLS Session Ticket' unterstützen oder einen TLS-Sitzungscache verwenden. Server Standardmäßig verwendet es die Authentifizierung über Client-TLS-Zertifikate. Die Schwachstelle besteht seit der Version nginx 1.11.4, wenn es mit OpenSSL kompiliert und das Protokoll TLSv1.3 aktiviert ist.
Nicht sicherheitsrelevante Änderungen:
- Es wurden Funktionen hinzugefügt, um den Ressourcenverbrauch zu reduzieren und die CPU-Belastung bei der Verwendung von TLS in Konfigurationen mit einer großen Anzahl von server- und location-Blöcken zu verringern. Die hinzugefügten Änderungen ermöglichen es, anstelle der Erstellung eines separaten SSL-Kontexts (SSL_CTX in OpenSSL) für jeden Konfigurationsblock, den bereits vorhandenen SSL-Kontext aus dem übergeordneten Block zu verwenden.
- Es wurden Probleme mit der langen Ladezeit von Konfigurationsdateien aufgrund des wiederholten Parsens desselben Satzes TLS-Zertifikaten, von Schlüsseln und Zertifizierungsstellenlisten gelöst. Die Konfiguration wurde durch die Wiederverwendung unveränderter TLS-Objekte wie Zertifikate, Schlüssel und CRLs beschleunigt. Um die Vererbung von Objekten bei der Aktualisierung der Konfiguration zu deaktivieren, wurde die Direktive „ssl_object_cache_inheritable“ hinzugefügt.
- Es wurde ein Cache für Zertifikate und Schlüssel hinzugefügt, die mit Variablen in Anweisungen (z. B. „ssl_certificate /etc/ssl/$ssl_server_name.crt“) geladen wurden. Für die Verwaltung des Caches wurden die Anweisungen „ssl_certificate_cache“, „proxy_ssl_certificate_cache“, „grpc_ssl_certificate_cache“ und „uwsgi_ssl_certificate_cache“ hinzugefügt. Über die angegebenen Anweisungen kann die maximale Cachegröße, die Gültigkeitsdauer der Einträge und die Zeit für das Löschen nicht mehr benötigter Einträge konfiguriert werden. Beispiel: „ssl_certificate_cache max=1000 inactive=20s valid=1m;“.
- Die Anweisung „keepalive_min_timeout“ wurde hinzugefügt, die das Timeout festlegt, während dessen Nginx die Keep-Alive-Verbindung zum Client nicht schließt.
- Ein Problem wurde behoben, das im Protokoll die Meldung „gzip filter failed to use preallocated memory“ verursachte, wenn mit der zlib-ng-Bibliothek kompiliert wurde.
- Ein Problem mit dem Kompilieren der libatomic-Bibliothek bei Verwendung der Kompilierungsoption „—with-libatomic=DIR“ wurde behoben.
- Ein Fehler wurde behoben, der das Herstellen einer Verbindung über das QUIC-Protokoll bei Verwendung von 0-RTT verhinderte.
- Anfragen zur Versionseinige von QUIC, die von Clients eingehen, werden jetzt ignoriert.
- Probleme beim Kompilieren unter Solaris 10 mit dem ngx_http_v3_module wurden gelöst.
- Fehler in der Implementierung von HTTP/3 wurden behoben.
Quelle: opennet.ru
