{"id":166097,"date":"2026-03-25T11:12:50","date_gmt":"2026-03-25T09:12:50","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej"},"modified":"2026-03-25T11:12:50","modified_gmt":"2026-03-25T09:12:50","slug":"obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej","title":{"rendered":"Updates f\u00fcr nginx 1.29.7 und 1.28.3, die 6 Sicherheitsanf\u00e4lligkeiten beheben","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Hauptversion nginx 1.29.7 wurde ver\u00f6ffentlicht, in deren Rahmen die Entwicklung neuer Funktionen fortgesetzt wird. Gleichzeitig wird die stabil unterst\u00fctzte Version nginx 1.28.3 ver\u00f6ffentlicht, die nur \u00c4nderungen zur Behebung schwerwiegender Fehler und Sicherheitsanf\u00e4lligkeiten enth\u00e4lt. In den Updates wurden 6 Sicherheitsanf\u00e4lligkeiten behoben, von denen drei zu einem Puffer\u00fcberlauf f\u00fchren. Vier Sicherheitsanf\u00e4lligkeiten wurden als hochriskant eingestuft (8,8 oder 8,5 von 10). <\/p>\n
\n
CVE-2026-27654 \u2014 Buffer\u00fcberlauf im Modul ngx_http_dav_module, der beim Verarbeiten von WebDAV-Anfragen COPY und MOVE auftritt, wenn die Direktive \u201ealias\u201c in \u201elocation\u201c-Bl\u00f6cken verwendet wird. Die Schwachstelle erm\u00f6glicht es, die Dateipfade zu \u00e4ndern, um au\u00dferhalb des Basisverzeichnisses zuzugreifen. Das Problem wurde mithilfe des KI-Modells Claude identifiziert.\n
CVE-2026-27784, CVE-2026-32647 \u2014 Buffer\u00fcberl\u00e4ufe im Modul ngx_http_mp4_module, die bei der Verarbeitung speziell gestalteter MP4-Dateien auftreten. Es kann nicht ausgeschlossen werden, dass die Ausnutzung der Schwachstelle nicht auf einen Absturz des Prozesses beschr\u00e4nkt ist.\n
CVE-2026-27651 \u2014 Dereferenzierung eines Nullzeigers bei unsachgem\u00e4\u00dfer Verwendung der Authentifizierungsmethoden CRAM-MD5 oder APOP.\n
CVE-2026-28753 \u2014 M\u00f6glichkeit zur Manipulation von PTR-Eintr\u00e4gen im DNS, um Angreiferdaten in Anfragen auth_http und dem Befehl XCLIENT bei einer SMTP-Verbindung zum Backend einzuf\u00fcgen.\n
CVE-2026-28755 \u2014 Umgehung des Ergebnisses der OCSP-Zertifikats\u00fcberpr\u00fcfung im Modul stream. <\/ul>\n
Unter den nicht sicherheitsrelevanten \u00c4nderungen in nginx 1.29.7 <\/p>\n
\n
Die Unterst\u00fctzung f\u00fcr das Protokoll Multipath TCP (MPTCP) wurde hinzugef\u00fcgt, das das gleichzeitige Senden von Paketen \u00fcber mehrere Routen \u00fcber unterschiedliche Netzwerkschnittstellen erm\u00f6glicht. Um dies zu aktivieren, wurde der Parameter \u201emultipath\u201c zur Direktive \u201elisten\u201c hinzugef\u00fcgt.\n
Im Direktive \u201ekeepalive\u201c, die im Block \u201eupstream\u201c verwendet wird, wurde der Parameter \u201elocal\u201c hinzugef\u00fcgt. Wenn dieser Parameter angegeben ist, wird anstelle der gemeinsamen Nutzung einer Verbindung zum gemeinsamen upstream-Server, der in verschiedenen location- und server-Bl\u00f6cken erw\u00e4hnt wird, f\u00fcr jeden Block eine separate Verbindung zum upstream unterst\u00fctzt.\n
Im Block \u201eupstream\u201c wurde die Direktive \u201ekeepalive\u201c standardm\u00e4\u00dfig aktiviert.\n
Im Proxy-Modus wurde standardm\u00e4\u00dfig die HTTP\/1.1-Protokollversion mit aktivierter Keep-Alive-Option eingestellt (im Modul ngx_http_proxy_module ist die Unterst\u00fctzung f\u00fcr Keep-Alive standardm\u00e4\u00dfig aktiviert und die Einstellung \u201e1.1\u201c in der Direktive \u201eproxy_http_version\u201c gilt, wobei der Header \u201eConnection\u201c standardm\u00e4\u00dfig nicht mehr gesendet wird). Um das alte Verhalten wiederherzustellen, das den Zugriff auf Backends, die nur HTTP\/1.0 unterst\u00fctzen, erm\u00f6glicht, sollten die Einstellungen festgelegt werden: proxy_http_version 1.0; proxy_set_header Connection \u201eClose\u201c; <\/ul>\n