Nginx 1.31.7 ja njs 1.0.2 uuendamine haavatavuste kõrvaldamisega

Amet dele uitel põhiversiooni nginx 1.31.7, mille raames arendatakse uusi võimalusi, samuti vabastatakse paralleelselt toetatud stabiilne versioon nginx 1.30.6, kuhu kantakse vaid muudatused, mis on seotud tõsiste vigade ja haavatavuste likvideerimisega. Uuendustes on kõrvaldatud 5 haavatavust:

• CVE-2026-15176 — puhverdusülevool, mis ilmneb, kui kasutatakse
  direktiivi 'alias' konfiguratsioonides, mis muudavad URI päringut läbi direktiivi
  'rewrite', edasise suunamisega faili.
• CVE-2026-93479 — puhverdusülevool, mis tekib muutuja stringiväljendite täitmisel ning ilmneb, kui arvutatakse juurkatalooge ja logitakse päringute mooduleid http ja stream.
• CVE-2026-95101 — piirangu 'client_max_body_size' ületamine ja kolmandate osapoolte andmete sisestamine proksiseeritud päringusse, edastades vale raami HTTP/3-s, mille osa sisu võis töödelda kui päringu keha.
• CVE-2026-97629 — TLS seansside vale esitlemine, kuna üks seansi võtmeid jäeti initsialiseerimata rikka ajal.
• CVE-2026-97205 — mälu juurde pääsemine pärast selle vabastamist (use-after-free), mis ilmneb SSI-lehtedel 'include virtual' käskude kasutamisel koos asünkroonse sisendi/väljundi (AIO) rakendamisega.

Nginx 1.31.7 mitte-haavatavusega seotud muudatused:

• Modulitesse ngx_http_geoip_module ja ngx_stream_geoip_module on lisatud toetus MaxMind (MMDB) formaadis andmebaasidele.
• On rakendatud võimalus IP-aadressi kontrollimiseks SSL-sertifikaadid, mida kasutatakse tagaplaanil.
• On rakendatud käivitatava faili ümberkonfigureerimise ja uuendamise võimalused, kasutades quic_bpf direktiivi seadetesse.
• Moodsas ngx_http_v2_module moodulis on rakendatud prioriteetide määramise skeem, vastavalt RFC 9218.

Samuti on saadaval versioon njs 1.0.2, moodul, mis integreerib JavaScripti tõlgendaja nginx HTTP-serverisse. Njs võimaldab kasutada JavaScripti skripte konfiguratsioonifailides, et laiendada nginx-i võimalusi. Skripte saab kasutada täiustatud päringute töötlemise loogika määratlemiseks, konfiguratsiooni vormimiseks, dünaamiliseks vastuste genereerimiseks, päringu/vastuse modifitseerimiseks või probleeme lahendavate sisu loomiseks veebirakendustes. Projekti kood on kirjutatud C-s ja levitatakse BSD litsentsi alusel.

Njs versioonis 1.0.2 on kõrvaldatud haavatavused: mälu otsa saamine vale XML-andmete analüüsimisel (CVE-2026-101025) ja allkirjastatud XML-dokumendi kontrollimise rikutud manipuleerimise kaudu XML-atribuutidega (CVE-2026-101019). Lisatud on meetodid XMLNode.getAttributeNS() ja XMLNode.getChildNS(). Mälu tarbimist on vähendatud njs mootori kompileerimisel.

Allikas: opennet.ru