Uus versioon nginx 1.27.0, kus on kõrvaldatud 4 haavatavust HTTP/3 rakenduses

Esimene väljalase uue põhiharu nginx 1.27.0 on esitatud, mille raames jätkatakse uute võimaluste arendamist. Samuti on välja antud nginx 1.26.1, mis kuulub samal ajal toetatud stabiilsesse harusse, kuhu tehakse ainult parandusi tõsiste vigade ja haavatavuste likvideerimiseks. Järgmise aasta jooksul luuakse põhiharu 1.27.x alusel stabiilne hargne 1.28. Projekti kood on kirjutatud programmeerimiskeeles C ja jagatakse BSD litsentsi alusel.

Uutes väljalasetel on likvideeritud 4 haavatavust, mis mõjutavad eksperimentaalset moodulit ngx_http_v3 (mis on vaikimisi keelatud), mis pakub HTTP/3 protokolli tuge, kasutades transportimiseks QUIC protokolli HTTP/2 jaoks. Probleemid ilmnevad ainult siis, kui moodul ngx_http_v3_module on aktiveeritud ja suvand "quic" on määratud direktiivis "listen". Angie ja FreeNginx forkkide haavatavuste kohta pole seni midagi teatatud.

Haavatavus CVE-2024-34161 põhjustab mälukandjate lekkimist tööprotsesside kaudu süsteemides, mille MTU on määratud üle 4096 baidi. Mälu lekkimine toimub siis, kui CRYPTO kaadrid, mida kasutatakse ühenduse läbirääkimisel, saadetakse pärast kliendi lõpp-sõnumi saatmist.

Haavatavused CVE-2024-31079, CVE-2024-32760 ja CVE-2024-35200 on põhjustatud mälu rikkumisest ja võimaldavad eemalt ründajal provootseerida nginx-i tööprotsessi kokku kukkumist, luues spetsiaalselt vormindatud seansi QUIC protokolli alusel. CVE-2024-31079 ja CVE-2024-32760 haavatavustega ei välistata ka muid rünnaku tagajärgi (potentsiaalne koodijõud). Üksikasju ei esitata, kuid tundub, et haavatavused on põhjustatud juba vabastatud mälu kasutamisest (use-after-free), vale mäludele eraldamise tagajärjel massiivi jaoks, nullviidate demosioonist ja ebapiisava kontrolli tõttu andmete suuruse üle, mis on puhvris.

Non haavatavuste likvideerimisega seotud muudatused nginx 1.27.0-s:

• Direktiivides "proxy_limit_rate", "fastcgi_limit_rate", "scgi_limit_rate" ja "uwsgi_limit_rate" on lisatud muutujate määramise tugi.
• Mälu tarbimist on vähendatud pikaajaliste päringute töötlemisel, kui kasutada direktiive "gzip", "gunzip", "ssi", "sub_filter" või "grpc_pass".
• GCC 14 probleemid, mis tekkisid valiku „—with-atomic“ kasutamisel, on lahendatud.
• HTTP/3 rakenduse vead on parandatud.

Samuti tuleb mainida FreeNginx 1.27.0, fork Nginx'ist, uue peamise haru väljaandmist, mille arenduseks on vastutav Maksim Dunin, üks Nginx'i peamisi arendajaid. FreeNginx on positsioneeritud kui mittetulunduslik projekt, mis tagab Nginx'i koodibaasi arendamise ilma ettevõtte sekkumiseta. Uues versioonis on paranenud vigade käsitlemine päringute keha lugemisel, NetBSD 10.0 koosseisu koostamine on paranenud ning PID-failide salvestamine on paranenud (direktiivi „pid“ on lisatud parameeter „off“).

Allikas: opennet.ru