nginx 1.31.6 väljalase HTTP/3 teostuse puhvri ületäitumise parandusega

Avaldati nginxi põhiharu 1.31.6 väljalase, milles jätkub uute võimaluste arendamine. Paralleelselt hooldatavasse stabiilsesse harusse 1.30.x tehakse ainult muudatusi, mis on seotud tõsiste vigade ja turvaaukude kõrvaldamisega. Edaspidi moodustatakse põhiharu 1.31.x baasil stabiilne haru 1.32. Projekti kood on kirjutatud C-keeles ja seda levitatakse BSD litsentsi alusel.

Uues väljalaskes parandati haavatavus (CVE-2026-90439) moodulis ngx_http_v3_module, mis põhjustas TLS-ühenduse läbirääkimiste etapis parameetritega manipuleerimisel puhvri ületäitumise. Väidetavalt ei saa ründaja kontrollida andmeid, mis kirjutatakse puhvrist väljapoole jäävasse mälupiirkonda, ning haavatavuse mõju piirdub teenusetõkestuse või andmete rikkumisega. Probleem avaldub alates nginx 1.29.2 väljalaskest konfiguratsioonides, mis on koostatud OpenSSL 3.5.0 ja varasemate väljalasetega.

Muude muudatuste hulgas mainitakse veaparandusi ning üleminekut kõigi QUIC transpordiprotokolli parameetrite ignoreerimisele, mis saadakse TLS-ühenduse loomise käigus.

Allikas: opennet.ru