Κυκλοφόρησε ο κύριος κλάδος του nginx 1.23.2, εντός του οποίου συνεχίζεται η ανάπτυξη νέων χαρακτηριστικών, καθώς και η κυκλοφορία του παράλληλου υποστηριζόμενου σταθερού κλάδου του nginx 1.22.1, ο οποίος περιλαμβάνει μόνο αλλαγές που σχετίζονται με την εξάλειψη σοβαρών σφαλμάτων και τρωτά σημεία.
Οι νέες εκδόσεις εξαλείφουν δύο ευπάθειες (CVE-2022-41741, CVE-2022-41742) στη λειτουργική μονάδα ngx_http_mp4_module, που χρησιμοποιείται για την οργάνωση ροής από αρχεία σε μορφή H.264/AAC. Τα τρωτά σημεία θα μπορούσαν να οδηγήσουν σε καταστροφή της μνήμης ή διαρροή μνήμης κατά την επεξεργασία ενός ειδικά διαμορφωμένου αρχείου mp4. Ως συνέπεια αναφέρεται ένας έκτακτος τερματισμός μιας διαδικασίας εργασίας, αλλά δεν αποκλείονται άλλες εκδηλώσεις, όπως η οργάνωση της εκτέλεσης κώδικα στον διακομιστή.
Αξίζει να σημειωθεί ότι μια παρόμοια ευπάθεια είχε ήδη διορθωθεί στη μονάδα ngx_http_mp4_module το 2012. Επιπλέον, το F5 ανέφερε μια παρόμοια ευπάθεια (CVE-2022-41743) στο προϊόν NGINX Plus, που επηρεάζει τη λειτουργική μονάδα ngx_http_hls_module, η οποία παρέχει υποστήριξη για το πρωτόκολλο HLS (Apple HTTP Live Streaming).
Εκτός από την εξάλειψη των τρωτών σημείων, προτείνονται οι ακόλουθες αλλαγές στο nginx 1.23.2:
- Προστέθηκε υποστήριξη για τις μεταβλητές "$proxy_protocol_tlv_*", οι οποίες περιέχουν τις τιμές των πεδίων TLV (Type-Length-Value) που εμφανίζονται στο πρωτόκολλο Type-Length-Value PROXY v2.
- Παρέχεται αυτόματη περιστροφή κλειδιών κρυπτογράφησης για εισιτήρια συνόδου TLS, που χρησιμοποιείται κατά τη χρήση κοινόχρηστης μνήμης στην οδηγία ssl_session_cache.
- Το επίπεδο καταγραφής για σφάλματα που σχετίζονται με λανθασμένους τύπους εγγραφών SSL έχει μειωθεί από κρίσιμο σε ενημερωτικό επίπεδο.
- Το επίπεδο καταγραφής για μηνύματα σχετικά με την αδυναμία εκχώρησης μνήμης για μια νέα περίοδο λειτουργίας έχει αλλάξει από ειδοποίηση σε προειδοποίηση και περιορίζεται στην έξοδο μιας καταχώρισης ανά δευτερόλεπτο.
- Στην πλατφόρμα των Windows, έχει καθιερωθεί η συναρμολόγηση με OpenSSL 3.0.
- Βελτιωμένη αντανάκλαση των σφαλμάτων του πρωτοκόλλου PROXY στο αρχείο καταγραφής.
- Διορθώθηκε ένα πρόβλημα όπου το χρονικό όριο που καθορίζεται στην οδηγία "ssl_session_timeout" δεν λειτουργούσε κατά τη χρήση του TLSv1.3 με βάση το OpenSSL ή το BoringSSL.
Πηγή: opennet.ru