{"id":166097,"date":"2026-03-25T11:12:50","date_gmt":"2026-03-25T09:12:50","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej"},"modified":"2026-03-25T11:12:50","modified_gmt":"2026-03-25T09:12:50","slug":"obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej","title":{"rendered":"Updates f\u00fcr nginx 1.29.7 und 1.28.3 beheben 6 Sicherheitsanf\u00e4lligkeiten","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Hauptversion nginx 1.29.7 wurde ver\u00f6ffentlicht, in deren Rahmen die Entwicklung neuer Funktionen fortgesetzt wird. Gleichzeitig wird die stabil unterst\u00fctzte Version nginx 1.28.3 ver\u00f6ffentlicht, in die nur \u00c4nderungen zur Behebung schwerwiegender Fehler und Sicherheitsanf\u00e4lligkeiten einflie\u00dfen. In den Updates wurden 6 Sicherheitsanf\u00e4lligkeiten behoben, von denen drei zu Puffer\u00fcberl\u00e4ufen f\u00fchren. Vier Vulnerabilit\u00e4ten wurden mit einem hohen Gef\u00e4hrdungsgrad (8,8 oder 8,5 von 10) eingestuft. <\/p>\n
\n
CVE-2026-27654 \u2014 Puffer\u00fcberlauf im Modul ngx_http_dav_module, der bei der Verarbeitung von WebDAV-Anfragen COPY und MOVE in den Bl\u00f6cken \u201elocation\u201c mit der Direktive \u201ealias\u201c auftritt. Diese Schwachstelle erlaubt es, Dateipfade zu \u00e4ndern, um au\u00dferhalb des Basisverzeichnisses zuzugreifen. Das Problem wurde bei der Verwendung des KI-Modells Claude festgestellt.\n
CVE-2026-27784, CVE-2026-32647 \u2014 Puffer\u00fcberl\u00e4ufe im Modul ngx_http_mp4_module, die bei der Verarbeitung speziell formatierter mp4-Dateien auftreten. Es besteht die M\u00f6glichkeit, dass die Ausnutzung der Schwachstelle nicht auf den Abbruch des Arbeitsprozesses beschr\u00e4nkt ist.\n
CVE-2026-27651 \u2014 Dereferenzierung eines Nullzeigers bei falscher Verwendung der Authentifizierungsmethoden CRAM-MD5 oder APOP.\n
CVE-2026-28753 \u2014 M\u00f6glichkeit der Manipulation von PTR-Eintr\u00e4gen im DNS, um die Daten des Angreifers in Auth-http-Anfragen und den XCLIENT-Befehl in einer SMTP-Verbindung zum Backend einzuschleusen.\n
CVE-2026-28755 \u2014 Umgehung des Ergebnisses der OCSP-Zertifikats\u00fcberpr\u00fcfung im Modul stream. <\/ul>\n
Unter den sicherheitsunabh\u00e4ngigen \u00c4nderungen in nginx 1.29.7. <\/p>\n
\n
Unterst\u00fctzung des Multipath TCP (MPTCP)-Protokolls hinzugef\u00fcgt, das es erm\u00f6glicht, Pakete gleichzeitig \u00fcber mehrere Routen \u00fcber verschiedene Netzwerkschnittstellen zu liefern. Zur Aktivierung wurde der Parameter \u201emultipath\u201c in die Direktive \u201elisten\u201c aufgenommen.\n
In der Direktive \u201ekeepalive\u201c, die im Block \u201eupstream\u201c verwendet wird, wurde der Parameter \u201elocal\u201c hinzugef\u00fcgt. Wenn dieser Parameter angegeben wird, wird anstelle der gemeinsamen Nutzung einer Verbindung zu einem gemeinsamen upstream-Server, der in verschiedenen location- und server-Bl\u00f6cken erw\u00e4hnt wird, f\u00fcr jeden Block eine separate Verbindung zum upstream aufrechterhalten.\n
Im Block \u201eupstream\u201c ist die Direktive \u201ekeepalive\u201c standardm\u00e4\u00dfig aktiviert.\n
Beim Einsatz im Proxy-Modus wird standardm\u00e4\u00dfig die Protokollversion HTTP\/1.1 mit aktivierter Keep-Alive-Funktion verwendet (im Modul ngx_http_proxy_module ist die Unterst\u00fctzung f\u00fcr Keep-Alive standardm\u00e4\u00dfig aktiviert und der Wert \u201e1.1\u201c ist in der Direktive \u201eproxy_http_version\u201c festgelegt, w\u00e4hrend der Header \u201eConnection\u201c standardm\u00e4\u00dfig nicht mehr gesendet wird). Um das alte Verhalten wiederherzustellen, das Anfragen an Backends erm\u00f6glicht, die nur HTTP\/1.0 unterst\u00fctzen, sollten folgende Einstellungen vorgenommen werden: proxy_http_version 1.0; proxy_set_header Connection \u201eClose\u201c; <\/ul>\n