nginx versiooni 1.31.2 uuendus, mis kõrvaldab haavatavused, mida saab ära kasutada HTTP/3, HTTP2 ja gRPC kaudu

Välja on kujundatud nginx 1.31.2 põhiharu väljaanne, mille raames jätkub uute võimaluste arendamine ning samal ajal avaldatakse paralleelselt toetatav stabiilne haru nginx 1.30.3, kuhu kantakse sisse ainult tõsiste vigade ja haavatavuste kõrvaldamisega seotud muutused. Uuendustes on kõrvaldatud 3 haavatavust:

• CVE-2026-42530 — juba vabastatud mälu (use-after-free) kasutamine HTTP/3 protokolli rakenduses. Probleemile on omistatud kriitiline oht (9.2 skaalal 10), mis ei välista kaugjuhtimisega koodi käivitamist tööprotsesside õigustes, kui töötatakse ülesehitatud seansiga QUIC protokolli kaudu.
• CVE-2026-42055 — mälupuhvri üleujutus ngx_http_proxy_v2_module ja ngx_http_grpc_module moodulites, mis ilmneb, kui edastatakse spetsiaalselt koostatud päringud HTTP/2 protokolli kaudu või gRPC tagab. Probleemile on omistatud kriitiline oht (9.2 skaalal 10), mis lubab kaugjuhtimisega koodi käivitamist. Haavatavus ilmneb konfiguratsioonides, kus on seadistatud
  «ignore_invalid_headers off;» ja kõrge väärtusega «large_client_header_buffers».
• CVE-2026-48142 — andmete lugemine määratud puhvri alalt, kui menetletakse spetsiaalselt koostatud päringuid, mis toovad kaasa teksti kodeerimise UTF-8 kodeeringus ngx_http_charset_module mooduli kaudu. Haavatavus ilmneb konfiguratsioonides, kus on direktiiv «charset_map» ning salakoodide plokis direktiivid «source_charset utf-8» ja «charset teine_kodeering». Probleemile on omistatud keskmine oht (6.3 skaalal 10), mis võib viia tööprotsessi mälusisalduse lekke.

Lisaks haavatavuste lykilmisele nginx 1.31.2 versioonis on lisatud muutuja $ssl_sigalgs, mis sisaldab algoritme, mida klient on deklareerinud ClientHello sõnumis TLS-ühenduse läbirääkimiste ajal. $request_id kaudu edastatava identifikaatori koostamiseks on kasutatud SipHash-2-4 räsimismeetodit.

Allikas: opennet.ru