Die Veröffentlichung von nginx 1.29.8 und des Forks FreeNginx 1.29.7

Die Hauptversion von nginx 1.29.8 wurde veröffentlicht, in der die Entwicklung neuer Funktionen fortgesetzt wird. In den parallel unterstützten stabilen Branch 1.28.x werden nur Änderungen vorgenommen, die mit der Behebung schwerwiegender Fehler und Sicherheitsanfälligkeiten verbunden sind. Zukünftig wird auf Basis des Hauptbranch 1.29.x ein stabiler Branch 1.30 gebildet. Der Code des Projekts ist in C geschrieben und wird unter der BSD-Lizenz veröffentlicht.

In der neuen Version:

• Die Direktive max_headers wurde hinzugefügt, die die maximale Anzahl von HTTP-Headern in einer Anfrage begrenzt. Bei Überschreitung des Limits wird ein Fehler 400 (Bad Request) zurückgegeben. Diese Möglichkeit wurde aus FreeNginx übernommen.
• Die Kompatibilität mit der OpenSSL 4.0-Bibliothek, die sich in der Alpha-Testphase befindet, wurde sichergestellt.
• Es wurde erlaubt, Masken in der Direktive „include“ zu verwenden, die innerhalb des Blocks „geo“ angegeben ist.
• Ein Fehler bei der Verarbeitung von HTTP-Antworten mit dem Code 103 (Early Hints), die von einem proxierten Backend zurückgegeben werden, wurde behoben.
• Es wurde behoben, dass die Variablen $request_port und $is_request_port in Subanfragen nicht gesetzt wurden.

Zusätzlich kann die Veröffentlichung der Version des Projekts FreeNginx 1.29.8 erwähnt werden, das einen Fork von Nginx darstellt. Die Entwicklung des Forks wird von Maxim Dunin, einem der Schlüsselentwickler von Nginx, geleitet. FreeNginx positioniert sich als Non-Profit-Projekt, das die Entwicklung der Nginx-Codebasis ohne unternehmerisches Eingreifen sicherstellt. Der Code von FreeNginx wird weiterhin unter der BSD-Lizenz bereitgestellt. In der neuen Version wird die Kompatibilität mit OpenSSL 4.0 gewährleistet. Ein Pufferüberlauf (CVE-2026-27654) im Modul ngx_http_dav_module, der bei der Verarbeitung von WebDAV-Anfragen COPY und MOVE auftritt, wurde behoben, wenn die Direktive „alias“ in den „location“-Blöcken verwendet wird. Die Möglichkeit, mit PTR-Einträgen im DNS zu manipulieren, wurde ebenfalls behoben, um Angreiferinformationen in auth_http-Anfragen und dem Befehl XCLIENT in SMTP-Verbindungen zu einem Backend einzuschleusen (CVE-2026-28753).

Quelle: opennet.ru