Nach einem Jahr der Entwicklung hat das Nginx-Projekt die neue stabile Version 1.30.0 veröffentlicht. Im Rahmen der Vorbereitung auf die stabile Version wurden sechs Sicherheitsanfälligkeiten behoben, von denen vier den Modulen zur Verarbeitung von Mediendateien und Authentifizierungsprotokollen zugeordnet sind. Eine der wichtigsten Änderungen ist die Unterstützung von HTTP/3 und QUIC, die nun als bereit für den Produktionsbetrieb angesehen wird.
Behebe Sicherheitsanfälligkeiten:
- CVE-2026-27654: Ein Pufferüberlauf bei der Verarbeitung von COPY- oder MOVE-Anfragen in einem Location mit der Alias-Direktive könnte einem Angreifer ermöglichen, die Wurzeldirektorie der Website zu überschreiten.
- CVE-2026-27784: Eine speziell gestaltete MP4-Datei kann einen Arbeitsprozess auf 32-Bit-Plattformen zum Absturz bringen.
- CVE-2026-27651: Ein Segmentierungsfehler im Arbeitsprozess bei der Verwendung der Authentifizierungsmethoden CRAM-MD5 oder APOP mit aktivierter Authentifizierungswiederholung.
- CVE-2026-28753: Die Verwendung von PTR-DNS-Einträgen zur Einspeisung von Daten in auth_http-Anfragen und den Befehl XCLIENT in der Backend-SMTP-Verbindung.
- CVE-2026-28755: Erfolgreiche Beendigung SSL- des Handshakes, trotz einer Ablehnung des Client-Zertifikats bei der OCSP-Überprüfung im Stream-Modul.
Weitere signifikante Neuerungen:
- HTTP Early Hints (103): Der Server kann vorläufige Header senden, ohne auf die vollständige Generierung der Antwort vom Backend zu warten, was die Ladezeiten der Seiten beschleunigt.
- Encrypted ClientHello (ECH): Eine TLS-Privatsphäre-Funktion, die den Namen der angeforderten Website vor Netzwerkbeobachtern verbirgt.
- Sticky Sessions: Die Sticky-Direktive im Upstream-Block sorgt für die "Bindung" von Client-Sitzungen an einen bestimmten Server Backend-Server.
- Multipath TCP (MPTCP): Unterstützung des Multipath-Parameters in der Listen-Direktive zur Erhöhung der Ausfallsicherheit und Bandbreite auf der Transportschicht.
- Keep-Alive: Der Standardwert von proxy_http_version wurde auf 1.1 geändert, und der Connection-Header wird nicht mehr vom Proxydem Server durch, was die Wiederverwendbarkeit von Verbindungen verbessert.
- OpenSSL 4.0: Kompatibilität mit der bevorstehenden Hauptversion der kryptografischen Bibliothek gewährleistet.
- geo-Modul: Die Include-Direktive innerhalb des Geo-Blocks unterstützt jetzt Wildcard-Zeichen.
Quelle: linux.org.ru
