{"id":116173,"date":"2024-05-30T00:20:28","date_gmt":"2024-05-29T22:20:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/novaya-versiya-nginx-1-27-0-c-ustraneniem-4-uyazvimostej-v-realizaczii-http-3"},"modified":"2024-05-30T00:20:28","modified_gmt":"2024-05-29T22:20:28","slug":"novaya-versiya-nginx-1-27-0-c-ustraneniem-4-uyazvimostej-v-realizaczii-http-3","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/novaya-versiya-nginx-1-27-0-c-ustraneniem-4-uyazvimostej-v-realizaczii-http-3","title":{"rendered":"Die neue Version nginx 1.27.0 behebt 4 Sicherheitsanf\u00e4lligkeiten in der HTTP\/3-Implementierung.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die erste Version des neuen Hauptzweigs nginx 1.27.0 wurde ver\u00f6ffentlicht, in dem die Entwicklung neuer Funktionen fortgesetzt wird. Gleichzeitig wurde die Version nginx 1.26.1 erstellt, die zur parallel unterst\u00fctzten stabilen Linie geh\u00f6rt, in die nur \u00c4nderungen zur Behebung schwerwiegender Fehler und Sicherheitsanf\u00e4lligkeiten eingef\u00fcgt werden. Im n\u00e4chsten Jahr wird auf Basis des Hauptzweigs 1.27.x eine stabile Linie 1.28 gebildet. Der Code des Projekts ist in der Programmiersprache C geschrieben und wird unter der BSD-Lizenz verbreitet. <\/p>\n
In den neuen Versionen wurden 4 Sicherheitsanf\u00e4lligkeiten behoben, die das experimentelle Modul ngx_http_v3 betreffen (standardm\u00e4\u00dfig deaktiviert), das Unterst\u00fctzung f\u00fcr das HTTP\/3-Protokoll bietet, welches das QUIC-Protokoll als Transport f\u00fcr HTTP\/2 verwendet. Die Probleme treten nur bei Aktivierung des Moduls ngx_http_v3_module und der Einstellung der Option \u00abquic\u00bb in der Direktive \u00ablisten\u00bb auf. \u00dcber die Anf\u00e4lligkeit der Forks Angie und FreeNginx gibt es derzeit keine Informationen. <\/p>\n
Die Schwachstelle CVE-2024-34161 f\u00fchrt zu einem Speicherinhalt-Leck im Arbeitsprozess auf Systemen mit einer MTU, die auf mehr als 4096 Byte eingestellt ist. Das Leck des Speicherinhalts tritt auf, wenn CRYPTO-Frames, die bei der Aushandlung der Verbindung verwendet werden, nach dem Versand der finalen Nachricht durch den Client gesendet werden. <\/p>\n
Die Schwachstellen CVE-2024-31079, CVE-2024-32760 und CVE-2024-35200 werden durch Speicherbesch\u00e4digungen verursacht und erm\u00f6glichen es einem entfernten Angreifer, den Arbeitsprozess von nginx durch das Einrichten einer speziell gestalteten QUIC-Protokollsitzung zum Absturz zu bringen. Dabei sind bei den Schwachstellen CVE-2024-31079 und CVE-2024-32760 auch andere Angriffsfolgen nicht ausgeschlossen (potenzielle M\u00f6glichkeit der Codeausf\u00fchrung durch den Angreifer?). Details werden nicht bereitgestellt, aber Aufgrund der Codekorrekturen scheinen die Schwachstellen auf den Zugriff auf bereits freigegebenen Speicher (use-after-free), fehlerhafte Speicherzuweisung f\u00fcr Arrays, das Dereferenzieren eines Nullzeigers und unzureichende Gr\u00f6\u00dfenpr\u00fcfungen der in den Puffer geschriebenen Daten zur\u00fcckzuf\u00fchren zu sein. <\/p>\n
Unter den nicht mit der Behebung von Schwachstellen verbundenen \u00c4nderungen in nginx 1.27.0: <\/p>\n
\n
In den Direktiven «proxy_limit_rate», «fastcgi_limit_rate», «scgi_limit_rate» und «uwsgi_limit_rate» wurde die Unterst\u00fctzung f\u00fcr die Angabe von Variablen hinzugef\u00fcgt.\n
Der Speicherverbrauch bei der Verarbeitung von langlebigen Anfragen in Konfigurationen, die die Direktiven «gzip», «gunzip», «ssi», «sub_filter» oder «grpc_pass» verwenden, wurde reduziert.\n
Es wurden Probleme mit dem Absturz in GCC 14 beim Einsatz der Option «—with-atomic» behoben.\n
Fehler in der Implementierung von HTTP\/3 wurden behoben. <\/ul>\n
Zus\u00e4tzlich kann die Ver\u00f6ffentlichung eines neuen Hauptzweigs von FreeNginx 1.27.0, einem Fork von Nginx, der von Maxim Dunin, einem der key Entwickler von Nginx, entwickelt wird, hervorgehoben werden. FreeNginx wird als ein gemeinn\u00fctziges Projekt positioniert, das die Entwicklung der Codebasis von Nginx ohne Unternehmensintervention sicherstellt. In der neuen Version wurde die Fehlerbehandlung beim Lesen des Anfragek\u00f6rpers verbessert, die Kompilierung unter NetBSD 10.0 optimiert und die PID-Datei-Generierung verbessert (in der Direktive «pid» wurde der Parameter «off» hinzugef\u00fcgt). \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"