{"id":116173,"date":"2024-05-30T00:20:28","date_gmt":"2024-05-29T22:20:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/novaya-versiya-nginx-1-27-0-c-ustraneniem-4-uyazvimostej-v-realizaczii-http-3"},"modified":"2024-05-30T00:20:28","modified_gmt":"2024-05-29T22:20:28","slug":"novaya-versiya-nginx-1-27-0-c-ustraneniem-4-uyazvimostej-v-realizaczii-http-3","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/novaya-versiya-nginx-1-27-0-c-ustraneniem-4-uyazvimostej-v-realizaczii-http-3","title":{"rendered":"Neue Version nginx 1.27.0 mit Behebung von 4 Sicherheitsanf\u00e4lligkeiten in der HTTP\/3 Implementierung","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die erste Version des neuen Hauptzweigs nginx 1.27.0 wurde ver\u00f6ffentlicht, in der die Entwicklung neuer Funktionen fortgesetzt wird. Gleichzeitig wurde die Version nginx 1.26.1 erstellt, die zum parallel unterst\u00fctzten stabilen Zweig geh\u00f6rt, in den nur \u00c4nderungen zur Behebung schwerwiegender Fehler und Sicherheitsanf\u00e4lligkeiten eingef\u00fchrt werden. Im n\u00e4chsten Jahr wird auf Basis des Hauptzweigs 1.27.x ein stabiler Zweig 1.28 gebildet. Der Code des Projekts ist in C geschrieben und steht unter der BSD-Lizenz. <\/p>\n
In den neuen Versionen wurden 4 Schwachstellen behoben, die das experimentelle Modul ngx_http_v3 betreffen (standardm\u00e4\u00dfig deaktiviert), welches das HTTP\/3-Protokoll unterst\u00fctzt und QUIC als Transportprotokoll f\u00fcr HTTP\/2 verwendet. Probleme treten nur auf, wenn das Modul ngx_http_v3_module aktiviert und die Option \u201equic\u201c in der Direktive \u201elisten\u201c gesetzt wird. \u00dcber die Anf\u00e4lligkeit der Forks Angie und FreeNginx gibt es derzeit keine Informationen. <\/p>\n
Die Sicherheitsanf\u00e4lligkeit CVE-2024-34161 f\u00fchrt zu einem Speicherleck des Arbeitprozesses auf Systemen mit MTU, die auf einen Wert gr\u00f6\u00dfer als 4096 Byte eingestellt sind. Das Speicherleck tritt auf, wenn CRYPTO-Pakete, die zur Aushandlung der Verbindung verwendet werden, nach dem Senden der abschlie\u00dfenden Nachricht durch den Client gesendet werden. <\/p>\n
Die Sicherheitsanf\u00e4lligkeiten CVE-2024-31079, CVE-2024-32760 und CVE-2024-35200 werden durch Speicherbesch\u00e4digung verursacht und erm\u00f6glichen es einem Remote-Angreifer, den Arbeitprozess von nginx zum Absturz zu bringen, indem er eine speziell gestaltete QUIC-Sitzung einrichtet. Bei den Sicherheitsanf\u00e4lligkeiten CVE-2024-31079 und CVE-2024-32760 sind auch andere Auswirkungen eines Angriffs nicht auszuschlie\u00dfen (potenzielle M\u00f6glichkeit einer Codeausf\u00fchrung durch den Angreifer?). Details werden nicht angegeben, aber laut den Korrekturen im Code werden die Sicherheitsanf\u00e4lligkeiten durch den Zugriff auf bereits freigegebenen Speicher (use-after-free), falsche Speicherzuweisung f\u00fcr ein Array, Dereferenzierung eines Nullzeigers und fehlende ordnungsgem\u00e4\u00dfe Gr\u00f6\u00dfenpr\u00fcfung der in den Puffer eingef\u00fcgten Daten verursacht. <\/p>\n
Unter den nicht mit der Beseitigung von Sicherheitsanf\u00e4lligkeiten verbundenen \u00c4nderungen in nginx 1.27.0: <\/p>\n
\n
In den Direktiven \u201eproxy_limit_rate\u201c, \u201efastcgi_limit_rate\u201c, \u201escgi_limit_rate\u201c und \u201euwsgi_limit_rate\u201c wurde die Unterst\u00fctzung f\u00fcr die Angabe von Variablen hinzugef\u00fcgt.\n
Der Speicherverbrauch bei der Verarbeitung von langlebigen Anfragen in Konfigurationen, die die Direktiven \u201egzip\u201c, \u201egunzip\u201c, \u201essi\u201c, \u201esub_filter\u201c oder \u201egrpc_pass\u201c verwenden, wurde reduziert.\n
Probleme mit Abst\u00fcrzen in GCC 14 bei Verwendung der Option \u201e--with-atomic\u201c wurden behoben.\n
Fehler in der Implementierung von HTTP\/3 wurden korrigiert. <\/ul>\n
Zus\u00e4tzlich kann die Ver\u00f6ffentlichung eines neuen Hauptzweigs FreeNginx 1.27.0 erw\u00e4hnt werden, einer Nginx-Fork, die von Maxim Dunin, einem der Hauptentwickler von Nginx, weiterentwickelt wird. FreeNginx positioniert sich als gemeinn\u00fctziges Projekt, das die Entwicklung der Nginx-Codebasis ohne unternehmerisches Eingreifen erm\u00f6glicht. In der neuen Version wurde die Fehlerbehandlung beim Lesen des Anfragek\u00f6rpers verbessert, der Build in NetBSD 10.0 stabilisiert und die PID-Datei-Schreibung verbessert (in die Direktive \u201epid\u201c wurde die Option \u201eoff\u201c hinzugef\u00fcgt). \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"