Nginx 1.22.1 ja 1.23.2 värskendus, mis kõrvaldada haavatavused

Nginx 1.23.2 põhiharu väljaanne on koostatud, mille raames jätkub uute võimaluste arendamine, samuti väljaanne paralleelselt toetatud stabiilsest harust nginx 1.22.1, kuhu tehakse ainult muudatusi, mis on seotud tõsiste vigade ja haavatavuste likvideerimisega.

Uutes versioonides on kõrvaldatud kaks haavatavust (CVE-2022-41741, CVE-2022-41742) ngx_http_mp4_module moodulis, mida kasutatakse H.264/AAC formaadis failidest voogedastamise korraldamiseks. Haavatavused võivad põhjustada mälukahjustusi või mälusisendi leket spetsiaalselt vormindatud mp4 faili töötlemisel. Tagajärgedena mainitakse tööprotsessi kokkuvarisemist, kuid ei välistata ka muid ilminguid, näiteks koodi täitmise korraldamist. serveris.

On tähelepanuväärne, et sarnane haavatavus on juba kõrvaldatud ngx_http_mp4_module moodulis 2012. aastal. Lisaks on ettevõte F5 teatanud sarnasest haavatavusest (CVE-2022-41743) NGINX Plus tootes, mis mõjutab ngx_http_hls_module moodulit, mis toetab HLS (Apple HTTP Live Streaming) protokolli.

Lisaks haavatavuste kõrvaldamisele nginx 1.23.2 on pakutud järgmisi muudatusi:

• Lisatud on tugi muutujaile „$proxy_protocol_tlv_*“, kuhu kirjutatakse TLV (Type-Length-Value) väljade väärtused, mis esinevad PROXY v2 TLV protokollis.
• Automaatne krüptovõtme ringluse tagamine TLS sessioonipiletite jaoks, mida kasutatakse jagatud mälu korral ssl_session_cache direktiivis.
• Vigade logimise tase, mis on seotud valede kirjetüüpidel, SSL, on alandatud kriitilisest tasemest informatiivse tasemeni.
• Uue seansi jaoks mälu eraldamise ebaõnnestumise teated on muudetud jaotise alert asemel warn ja piiratud ühe salvestuse väljundiga sekundis.
• Windowsi platvormil on loodud versioon koos OpenSSL 3.0-ga.
• PROXY protokolli veateadete logimine on kohandatud.
• Probleem, kus TLSv1.3 kasutamisel OpenSSL või BoringSSL alusel ei töötanud direktiivis „ssl_session_timeout“ näidatud vaheaeg, on lahendatud.

Allikas: opennet.ru