Die Veröffentlichung der Hauptversion nginx 1.31.7 wurde eingeführt, im Rahmen dessen die Entwicklung neuer Möglichkeiten fortgesetzt wird, sowie die Veröffentlichung einer parallel unterstützten stabilen Version nginx 1.30.6, in die nur Änderungen zur Behebung schwerwiegender Fehler und Sicherheitsanfälligkeiten vorgenommen werden. In den Updates wurden 5 Sicherheitsanfälligkeiten behoben:
- CVE-2026-15176 — Pufferüberlauf, der bei der Verwendung von
der Direktive „alias“ in Konfigurationen auftritt, die die URI-Anfrage über die Direktive ändern,
„rewrite“ mit anschließender Umleitung auf eine Datei. - CVE-2026-93479 — Pufferüberlauf, der beim Ausführen von String-Ausdrücken mit Variablen auftritt und sich beim Berechnen des Pfades zum Stammverzeichnis sowie beim Protokollieren von Anfragen in den HTTP- und Stream-Modulen bemerkbar macht.
- CVE-2026-95101 — Umgehung der Einschränkung „client_max_body_size“ und Einspeisung von Fremddaten in die proxied Anfrage durch die Übertragung fehlerhafter Frames in HTTP/3, dessen Inhalt teilweise als Anfragekörper behandelt werden könnte.
- CVE-2026-97629 — Fälschung von TLS-Sitzungen durch das Verlassen eines der Sitzungsschlüssel nicht initialisiert während der Rotation.
- CVE-2026-97205 — Zugriff auf Speicher nach dessen Freigabe (use-after-free), der bei der Verwendung von SSI-Seiten mit den Befehlen „include virtual“ in Verbindung mit asynchronem Input/Output (AIO) auftritt.
Änderungen in nginx 1.31.7, die nicht mit Sicherheitsanfälligkeiten verbunden sind:
- Es wurde Unterstützung für Datenbanken im MaxMind (MMDB) Format im ngx_http_geoip_module und ngx_stream_geoip_module hinzugefügt.
- Die Möglichkeit zur Überprüfung anhand der IP-Adresse wurde umgesetzt SSL-Zertifikaten, die im Backend verwendet wird.
- Es wurden Möglichkeiten zur Neukonfiguration und Aktualisierung der ausführbaren Datei bei Verwendung der Direktive quic_bpf in den Einstellungen realisiert.
- Im Modul ngx_http_v2_module wurde ein Priorisierungsmodell umgesetzt, das RFC 9218 entspricht.
Gleichzeitig steht die Veröffentlichung von njs 1.0.2, einem Modul zur Integration des JavaScript-Interpreters in den http-Server nginx, zur Verfügung. Njs ermöglicht die Verwendung von JavaScript-Skripten in Konfigurationsdateien zur Erweiterung der Möglichkeiten von nginx. Skripte können verwendet werden, um erweiterte Logik bei der Anfragebehandlung, zur Konfigurationserstellung, zur dynamischen Antwortgenerierung, zur Modifizierung von Anfragen/Antworten oder zur schnellen Erstellung von Stubs zur Lösung von Problemen in Webanwendungen zu definieren. Der Code des Projekts ist in C geschrieben und steht unter der BSD-Lizenz.
In der Version njs 1.0.2 wurden folgende Sicherheitsanfälligkeiten behoben: Speicherüberlauf beim Parsen fehlerhafter XML-Daten (CVE-2026-101025) und unzureichende Überprüfung signierter XML-Dokumente durch Manipulation von XML-Attributen (CVE-2026-101019). Methoden XMLNode.getAttributeNS() und XMLNode.getChildNS() wurden hinzugefügt. Der Speicherverbrauch beim Kompilieren in der njs-Engine wurde reduziert.
Quelle: opennet.ru
