Updates für nginx 1.29.7 und 1.28.3, die 6 Sicherheitsanfälligkeiten beheben

Die Hauptversion nginx 1.29.7 wurde veröffentlicht, in deren Rahmen die Entwicklung neuer Funktionen fortgesetzt wird. Gleichzeitig wird die stabil unterstützte Version nginx 1.28.3 veröffentlicht, die nur Änderungen zur Behebung schwerwiegender Fehler und Sicherheitsanfälligkeiten enthält. In den Updates wurden 6 Sicherheitsanfälligkeiten behoben, von denen drei zu einem Pufferüberlauf führen. Vier Sicherheitsanfälligkeiten wurden als hochriskant eingestuft (8,8 oder 8,5 von 10).

• CVE-2026-27654 — Pufferüberlauf im Modul ngx_http_dav_module, der bei der Verarbeitung von WebDAV-Anfragen COPY und MOVE auftritt, wenn sie in den "location"-Blöcken der Direktive "alias" verwendet werden. Die Sicherheitsanfälligkeit ermöglicht es, die Dateipfade so zu ändern, dass sie außerhalb des Basisverzeichnisses zugreifen. Das Problem wurde mit dem AI-Modell Claude identifiziert.
• CVE-2026-27784, CVE-2026-32647 — Pufferüberläufe im Modul ngx_http_mp4_module, die bei der Verarbeitung speziell gestalteter mp4-Dateien auftreten. Es ist nicht auszuschließen, dass die Ausnutzung der Sicherheitsanfälligkeit nicht nur zu einem plötzlichen Abbruch des Prozesses führt.
• CVE-2026-27651 — Dereferenzierung eines Nullzeigers bei unsachgemäßer Verwendung der Authentifizierungsmethoden CRAM-MD5 oder APOP.
• CVE-2026-28753 — Möglichkeit der Manipulation von PTR-Einträgen im DNS zur Einspeisung von Angreifer-Daten in die auth_http-Anfragen und das XCLIENT-Kommando in SMTP-Verbindungen zum Backend.
• CVE-2026-28755 — Umgehung des Ergebnisses der OCSP-Zertifikatprüfung im Modul stream.

Unter den nicht sicherheitsrelevanten Änderungen in nginx 1.29.7

• Die Unterstützung des Multipath TCP (MPTCP)-Protokolls wurde hinzugefügt, das die gleichzeitige Lieferung von Paketen über mehrere Routen und verschiedene Netzwerkschnittstellen ermöglicht. Um dies zu aktivieren, wurde der Parameter „multipath“ zur Direktive „listen“ hinzugefügt.
• In die Direktive „keepalive“, die im Block „upstream“ verwendet wird, wurde der Parameter „local“ hinzugefügt. Bei Angabe dieses Parameters wird anstelle der gemeinsamen Nutzung einer Verbindung zu einem gemeinsamen upstream-Server, der in verschiedenen location- und server-Blöcken erwähnt wird, für jeden Block eine separate Verbindung zu upstream aufrechterhalten.
• Im Block „upstream“ wurde die Direktive „keepalive“ standardmäßig aktiviert.
• Beim Einsatz im Proxy-Modus wird standardmäßig die Protokollversion HTTP/1.1 verwendet, mit eingeschaltetem Keep-Alive-Modus (im Modul ngx_http_proxy_module ist die Unterstützung für Keep-Alive standardmäßig aktiviert und der Wert „1.1“ in der Direktive „proxy_http_version“ gesetzt, während das standardmäßige Senden des Headers „Connection“ eingestellt wurde). Um das alte Verhalten wiederherzustellen, das Verbindungen zu Backends ermöglicht, die nur HTTP/1.0 unterstützen, sollten die folgenden Einstellungen vorgenommen werden: proxy_http_version 1.0; proxy_set_header Connection „Close“;

Quelle: opennet.ru