Die Hauptversion von nginx 1.29.8 wurde veröffentlicht, in der die Entwicklung neuer Funktionen fortgesetzt wird. In der parallel unterstützten stabilen Version 1.28.x werden nur Änderungen vorgenommen, die ernste Fehler und Sicherheitsanfälligkeiten beheben. In Zukunft wird auf der Grundlage der Hauptversion 1.29.x eine stabile Version 1.30 gebildet. Der Code des Projekts ist in C geschrieben und wird unter der BSD-Lizenz vertrieben.
In der neuen Version:
- Die max_headers-Direktive wurde hinzugefügt, die die maximale Anzahl von HTTP-Headern in einer Anfrage begrenzt. Bei Überschreitung des Limits wird ein Fehler 400 (Bad Request) zurückgegeben. Diese Funktion wurde aus FreeNginx übernommen.
- Die Kompatibilität mit der OpenSSL 4.0-Bibliothek, die sich in der Alpha-Testing-Phase befindet, wurde sichergestellt.
- Es ist nun erlaubt, Platzhalter in der 'include'-Direktive innerhalb des 'geo'-Blocks zu verwenden.
- Ein Fehler bei der Verarbeitung von HTTP-Antworten mit dem Statuscode 103 (Early Hints), die von einem proxyseitigen Backend zurückgegeben werden, wurde behoben.
- Die Variablen $request_port und $is_request_port werden in Subanfragen nun korrekt gesetzt.
Zusätzlich kann die Veröffentlichung des Releases des Projekts FreeNginx 1.29.8 erwähnt werden, das einen Fork von Nginx entwickelt. Die Entwicklung des Forks wird von Maxim Dunin geleitet, einem der Hauptentwickler von Nginx. FreeNginx wird als gemeinnütziges Projekt positioniert, das die Entwicklung des Nginx-Codebasen ohne Unternehmensinterferenzen gewährleistet. Der Code von FreeNginx wird weiterhin unter der BSD-Lizenz bereitgestellt. Die neue Version bietet Kompatibilität mit OpenSSL 4.0. Ein Pufferüberlauf (CVE-2026-27654) im Modul ngx_http_dav_module, der bei der Verarbeitung von WebDAV-Anfragen COPY und MOVE in den „location“-Blöcken der „alias“-Direktive auftritt, wurde behoben. Die Möglichkeit zur Manipulation von PTR-Einträgen im DNS, um Angreiferdaten in auth_http-Anfragen und den XCLIENT-Befehl in SMTP-Verbindungen zum Backend einzuschleusen (CVE-2026-28753), wurde beseitigt.
Quelle: opennet.ru
