Veröffentlicht Release der Hauptversion nginx 1.29.8, in der die Entwicklung neuer Möglichkeiten fortgesetzt wird. In den parallel unterstĂŒtzten stabilen Zweig 1.28.x werden nur Ănderungen vorgenommen, die mit der Behebung schwerwiegender Fehler und SicherheitsanfĂ€lligkeiten zusammenhĂ€ngen. In Zukunft wird auf Basis des Hauptzweigs 1.29.x ein stabiler Zweig 1.30 gebildet. Der Projektcode ist in C geschrieben und wird verbreitet unter der BSD-Lizenz stehen.
Im neuen Version:
- Direktive hinzugefĂŒgt max_headers, welches die maximale Anzahl an HTTP-Headern in einer Anfrage begrenzt. Bei Ăberschreitung des Limits wird ein Fehler 400 (Bad Request) zurĂŒckgegeben. Diese Möglichkeit wurde aus FreeNginx ĂŒbernommen.
- Die KompatibilitÀt mit der OpenSSL-Bibliothek 4.0, die sich in der Phase der Alpha-Tests befindet, wurde sichergestellt..
- Die Verwendung von Masken in der innerhalb des Blocks âgeoâ angegebenen include-Direktive ist erlaubt.
- Ein Fehler bei der Verarbeitung von HTTP-Antworten mit dem Code 103 (Early Hints), die vom proxied Backend zurĂŒckgegeben werden, wurde behoben.
- Das Nichtsetzen der Variablen $request_port und $is_request_port in Unteranfragen wurde behoben.
ZusĂ€tzlich kann die Veröffentlichung der Projektversion FreeNginx 1.29.7, die die Weiterentwicklung von Fork Nginx vorantreibt, erwĂ€hnt werden. Die Fork-Entwicklung wird von Maxim Dunin, einem der Hauptentwickler von Nginx, geleitet. FreeNginx wird als gemeinnĂŒtziges Projekt positioniert, das die Entwicklung des Nginx-Codebasis ohne Unternehmensintervention gewĂ€hrleistet. Der Code von FreeNginx wird weiterhin unter der BSD-Lizenz bereitgestellt. In neuen Version wurde die KompatibilitĂ€t mit OpenSSL 4.0 sichergestellt. Ein Buffer Overflow (CVE-2026-27654) im ngx_http_dav_module, der beim Verarbeiten von WebDAV-Anfragen COPY und MOVE auftritt, wenn die Direktive alias in location-Blöcken verwendet wird, wurde behoben. Die Möglichkeit der Manipulation von PTR-EintrĂ€gen im DNS zur Einspeisung von Angreiferdaten (CVE-2026-28753) in auth_http-Anfragen und den XCLIENT-Befehl bei SMTP-Verbindungen zum Backend wurde behoben.
Quelle: linux.org.ru
