{"id":182227,"date":"2026-06-18T08:48:05","date_gmt":"2026-06-18T06:48:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-nginx-1-31-2-s-ustraneniem-uyazvimostej-ekspluatiruemyh-cherez-http-3-http2-i-grpc"},"modified":"2026-06-18T08:48:05","modified_gmt":"2026-06-18T06:48:05","slug":"obnovlenie-nginx-1-31-2-s-ustraneniem-uyazvimostej-ekspluatiruemyh-cherez-http-3-http2-i-grpc","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/obnovlenie-nginx-1-31-2-s-ustraneniem-uyazvimostej-ekspluatiruemyh-cherez-http-3-http2-i-grpc","title":{"rendered":"Actualizaci\u00f3n de nginx 1.31.2 con correcciones de vulnerabilidades explotadas a trav\u00e9s de HTTP\/3, HTTP2 y gRPC","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha formado la versi\u00f3n principal de nginx 1.31.2, en la cual contin\u00faa el desarrollo de nuevas funcionalidades, adem\u00e1s del lanzamiento de la rama estable 1.30.3, que solo recibe cambios relacionados con la correcci\u00f3n de errores graves y vulnerabilidades. En las actualizaciones se han solucionado 3 vulnerabilidades:<\/p>\n
\n
CVE-2026-42530 \u2014 acceso a memoria ya liberada (use-after-free) en la implementaci\u00f3n del protocolo HTTP\/3. Se le ha asignado un nivel cr\u00edtico de riesgo (9.2 de 10), lo que no excluye la posibilidad de ejecuci\u00f3n remota de c\u00f3digo con los permisos del proceso al manejar una sesi\u00f3n especialmente dise\u00f1ada a trav\u00e9s del protocolo QUIC.\n
CVE-2026-42055 \u2014 desbordamiento de b\u00fafer en los m\u00f3dulos ngx_http_proxy_v2_module y ngx_http_grpc_module, que se manifiesta al realizar el proxy de solicitudes especialmente dise\u00f1adas a trav\u00e9s del protocolo HTTP\/2 o hacia un backend gRPC. Se le ha asignado un nivel cr\u00edtico de riesgo (9.2 de 10), permitiendo la ejecuci\u00f3n remota de c\u00f3digo. La vulnerabilidad se presenta en configuraciones con la opci\u00f3n \n\u00abignore_invalid_headers off;\u00bb y un valor elevado de \u00ablarge_client_header_buffers.\u00bb<\/p>\n
CVE-2026-48142 \u2014 lectura fuera del \u00e1rea del b\u00fafer asignado al procesar solicitudes especialmente dise\u00f1adas, lo que conduce a la recodificaci\u00f3n de texto en UTF-8 mediante el m\u00f3dulo ngx_http_charset_module. La vulnerabilidad aparece en configuraciones con la directiva \u00abcharset_map\u00bb que contienen en el bloque location las directivas \u00absource_charset utf-8\u00bb y \u00abcharset otra_codificaci\u00f3n\u00bb. Se le ha asignado un nivel medio de riesgo (6.3 de 10), permitiendo la filtraci\u00f3n de contenido de la memoria del proceso.\n<\/ul>\n
Adem\u00e1s de corregir vulnerabilidades en la versi\u00f3n nginx 1.31.2, se ha a\u00f1adido la variable $ssl_sigalgs, que contiene los algoritmos de firma digital anunciados por el cliente en el mensaje ClientHello durante la negociaci\u00f3n de la conexi\u00f3n TLS. Para la formaci\u00f3n del identificador transmitido a trav\u00e9s de la variable $request_id, se utiliza el algoritmo de hash SipHash-2-4. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"