{"id":166097,"date":"2026-03-25T11:12:50","date_gmt":"2026-03-25T09:12:50","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej"},"modified":"2026-03-25T11:12:50","modified_gmt":"2026-03-25T09:12:50","slug":"obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej","title":{"rendered":"Actualizaciones de nginx 1.29.7 y 1.28.3 que corrigen 6 vulnerabilidades","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha lanzado la versi\u00f3n principal de nginx 1.29.7, en el marco de la cual contin\u00faa el desarrollo de nuevas funcionalidades, adem\u00e1s del lanzamiento de la rama estable 1.28.3, que solo recibe cambios relacionados con la correcci\u00f3n de errores cr\u00edticos y vulnerabilidades. En las actualizaciones se han corregido 6 vulnerabilidades, tres de las cuales pueden llevar a un desbordamiento de b\u00fafer. A cuatro vulnerabilidades se les ha asignado un alto nivel de peligrosidad (8.8 o 8.5 de 10). <\/p>\n
\n
CVE-2026-27654 \u2014 desbordamiento de b\u00fafer en el m\u00f3dulo ngx_http_dav_module, que ocurre al procesar solicitudes WebDAV COPY y MOVE al utilizar en los bloques \u00ablocation\u00bb la directiva \u00abalias\u00bb. La vulnerabilidad permite cambiar las rutas a los archivos para acceder m\u00e1s all\u00e1 del directorio base. El problema se ha identificado utilizando el modelo de IA Claude.\n
CVE-2026-27784, CVE-2026-32647 \u2014 desbordamientos de b\u00fafer en el m\u00f3dulo ngx_http_mp4_module, que ocurren al procesar archivos mp4 manipulados. No se excluye que la explotaci\u00f3n de la vulnerabilidad no se limite a la finalizaci\u00f3n inesperada del proceso.\n
CVE-2026-27651 \u2014 desreferencia de puntero nulo al utilizar incorrectamente los m\u00e9todos de autenticaci\u00f3n CRAM-MD5 o APOP.\n
CVE-2026-28753 \u2014 posibilidad de manipular registros PTR en DNS para insertar datos del atacante en las solicitudes auth_http y el comando XCLIENT en la conexi\u00f3n SMTP al backend.\n
CVE-2026-28755 \u2014 elusi\u00f3n del resultado de la verificaci\u00f3n OCSP del certificado en el m\u00f3dulo stream. <\/ul>\n
Entre los cambios no relacionados con la seguridad en nginx 1.29.7 <\/p>\n
\n
Se ha a\u00f1adido soporte para el protocolo Multipath TCP (MPTCP), que permite el env\u00edo de paquetes simult\u00e1neamente a trav\u00e9s de m\u00faltiples rutas a trav\u00e9s de diferentes interfaces de red. Se ha a\u00f1adido el par\u00e1metro \u00abmultipath\u00bb a la directiva \u00ablisten\u00bb para habilitarlo.\n
Se ha a\u00f1adido el par\u00e1metro \u00ablocal\u00bb a la directiva \u00abkeepalive\u00bb utilizada en el bloque \u00abupstream\u00bb. Al especificar este par\u00e1metro, en lugar de compartir una \u00fanica conexi\u00f3n a un servidor upstream com\u00fan mencionado en diferentes bloques location y server, cada bloque mantiene una conexi\u00f3n separada con el upstream.\n
En el bloque \u00abupstream\u00bb, la directiva \u00abkeepalive\u00bb est\u00e1 activada por defecto.\n
Al usar en modo proxy, se ha establecido por defecto la versi\u00f3n del protocolo HTTP\/1.1 con la activaci\u00f3n del modo keep-alive (en el m\u00f3dulo ngx_http_proxy_module, el soporte de keep-alive est\u00e1 activado por defecto y el valor \u00ab1.1\u00bb se ha establecido en la directiva \u00abproxy_http_version\u00bb y se ha detenido el env\u00edo por defecto del encabezado \u00abConnection\u00bb). Para restaurar el comportamiento anterior, que permit\u00eda acceder a backends que solo soportan HTTP\/1.0, se deben establecer las configuraciones: proxy_http_version 1.0; proxy_set_header Connection \u00abClose\u00bb; <\/ul>\n