Veröffentlicht Release der Hauptversion nginx 1.29.8, in der die Entwicklung neuer Möglichkeiten fortgesetzt wird. In den parallel unterstützten stabilen Zweig 1.28.x werden nur Änderungen vorgenommen, die mit der Behebung schwerwiegender Fehler und Sicherheitsanfälligkeiten zusammenhängen. In Zukunft wird auf Basis des Hauptzweigs 1.29.x ein stabiler Zweig 1.30 gebildet. Der Projektcode ist in C geschrieben und wird verbreitet unter der BSD-Lizenz stehen.
Im neuen Version:
- Direktive hinzugefügt max_headers, welches die maximale Anzahl an HTTP-Headern in einer Anfrage begrenzt. Bei Überschreitung des Limits wird ein Fehler 400 (Bad Request) zurückgegeben. Diese Möglichkeit wurde aus FreeNginx übernommen.
- Die Kompatibilität mit der OpenSSL-Bibliothek 4.0, die sich in der Phase der Alpha-Tests befindet, wurde sichergestellt..
- Die Verwendung von Masken in der innerhalb des Blocks „geo“ angegebenen include-Direktive ist erlaubt.
- Ein Fehler bei der Verarbeitung von HTTP-Antworten mit dem Code 103 (Early Hints), die vom proxied Backend zurückgegeben werden, wurde behoben.
- Das Nichtsetzen der Variablen $request_port und $is_request_port in Unteranfragen wurde behoben.
Zusätzlich kann die Veröffentlichung der Projektversion FreeNginx 1.29.7, die die Weiterentwicklung von Fork Nginx vorantreibt, erwähnt werden. Die Fork-Entwicklung wird von Maxim Dunin, einem der Hauptentwickler von Nginx, geleitet. FreeNginx wird als gemeinnütziges Projekt positioniert, das die Entwicklung des Nginx-Codebasis ohne Unternehmensintervention gewährleistet. Der Code von FreeNginx wird weiterhin unter der BSD-Lizenz bereitgestellt. In neuen Version wurde die Kompatibilität mit OpenSSL 4.0 sichergestellt. Ein Buffer Overflow (CVE-2026-27654) im ngx_http_dav_module, der beim Verarbeiten von WebDAV-Anfragen COPY und MOVE auftritt, wenn die Direktive alias in location-Blöcken verwendet wird, wurde behoben. Die Möglichkeit der Manipulation von PTR-Einträgen im DNS zur Einspeisung von Angreiferdaten (CVE-2026-28753) in auth_http-Anfragen und den XCLIENT-Befehl bei SMTP-Verbindungen zum Backend wurde behoben.
Quelle: linux.org.ru
