{"id":182227,"date":"2026-06-18T08:48:05","date_gmt":"2026-06-18T06:48:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-nginx-1-31-2-s-ustraneniem-uyazvimostej-ekspluatiruemyh-cherez-http-3-http2-i-grpc"},"modified":"2026-06-18T08:48:05","modified_gmt":"2026-06-18T06:48:05","slug":"obnovlenie-nginx-1-31-2-s-ustraneniem-uyazvimostej-ekspluatiruemyh-cherez-http-3-http2-i-grpc","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/obnovlenie-nginx-1-31-2-s-ustraneniem-uyazvimostej-ekspluatiruemyh-cherez-http-3-http2-i-grpc","title":{"rendered":"Update von nginx 1.31.2 mit Behebung von Schwachstellen, die \u00fcber HTTP\/3, HTTP2 und gRPC ausgenutzt werden k\u00f6nnen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Hauptversion nginx 1.31.2 wurde ver\u00f6ffentlicht, in deren Rahmen die Entwicklung neuer Funktionen fortgesetzt wird. Gleichzeitig wird die parallel unterst\u00fctzte stabile Version nginx 1.30.3 ver\u00f6ffentlicht, in die nur \u00c4nderungen zur Behebung schwerwiegender Fehler und Sicherheitsanf\u00e4lligkeiten eingef\u00fchrt werden. In den Updates wurden 3 Sicherheitsanf\u00e4lligkeiten behoben:<\/p>\n
\n
CVE-2026-42530 \u2014 Zugriff auf bereits freigegebenen Speicher (use-after-free) in der Implementierung des HTTP\/3-Protokolls. Das Problem wurde mit einem kritischen Schweregrad (9,2 von 10) eingestuft, was die M\u00f6glichkeit eines remote Code-Executions mit den Rechten eines Worker-Prozesses bei der Verarbeitung einer speziell gestalteten Sitzung \u00fcber das QUIC-Protokoll einschlie\u00dft.\n
CVE-2026-42055 \u2014 Buffer\u00fcberlauf in den Modulen ngx_http_proxy_v2_module und ngx_http_grpc_module, der auftritt, wenn speziell gestaltete Anfragen \u00fcber das HTTP\/2-Protokoll oder an ein gRPC-Backend weitergeleitet werden. Das Problem wurde mit einem kritischen Schweregrad (9,2 von 10) eingestuft, was remote Code-Execution erm\u00f6glicht. Diese Schwachstelle tritt in Konfigurationen mit der Einstellung auf, \n\u201eignore_invalid_headers off;\u201c und einem hohen Wert \u201elarge_client_header_buffers.\u201c<\/p>\n
CVE-2026-48142 \u2014 Lesen au\u00dferhalb des zugewiesenen Puffers bei der Verarbeitung speziell gestalteter Anfragen, die zu einer Neucodierung des Textes in UTF-8 f\u00fchren, unter Verwendung des Moduls ngx_http_charset_module. Die Schwachstelle tritt in Konfigurationen mit der Direktive \u201echarset_map\u201c auf, wenn sich im location-Block die Direktiven \u201esource_charset utf-8\u201c und \u201echarset andere_kodierung\u201c befinden. Das Problem wurde mit einem mittleren Schweregrad (6,3 von 10) eingestuft, was potenziell zu einem Speicherleck des Inhalts des Worker-Prozesses f\u00fchren kann.\n<\/ul>\n
Neben der Behebung von Sicherheitsanf\u00e4lligkeiten wurde in der Version nginx 1.31.2 die Variable $ssl_sigalgs hinzugef\u00fcgt, die die vom Client im ClientHello-Nachricht w\u00e4hrend der Aushandlung der TLS-Verbindung angegebenen digitalen Signaturalgorithmen enth\u00e4lt. Zur Bildung der \u00fcber die Variable $request_id \u00fcbermittelten Identifikation wird der Hash-Algorithmus SipHash-2-4 verwendet. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"