Nginx 1.26.3 ja 1.27.4 uuendused, mis likvideerivad TLS-iga seotud haavatavuse.

Nginx 1.27.4 vaheversiooni väljaanne on valmis, mille raames jätkub uute võimaluste arendamine ning samal ajal vabastatakse ka paralleelselt toetatav stabiilne vaheversioon nginx 1.26.3, kuhu tehakse ainult tõsiste bugide ja haavatavuste lahendamiseks vajalikud muudatused. Uuendustes on kõrvaldatud haavatavus (CVE-2025-23419), mis võimaldab mööda minna kliendi TLS-sertifikaatide kontrollist.

Haavatavus on põhjustatud piisavate kontrollide puudumisest virtuaalhostide töötlemisel, mis on seotud ühe IP-aadresse ja porti ning valitakse HTTPS-i kaudu vastavalt domeeninimele, mis on määratud TLS-i laienduse SNI abil. Sellistes konfiguratsioonides sai ründaja kasutada TLS-seanssi mujalt virtuaalhostist, et mööda hiilida kliendi TLS-sertifikaadi autentimisest. Probleem ilmneb konfiguratsioonides, mis toetavad TLS-seansside edasiarendust „TLS session ticket“ abil või kasutavad TLS-seansside cache'i seadistustes. serverilt vaikimisi, kus kasutatakse kliendi TLS-sertifikaatidega autentimist. Haavatavus on olemas alates nginx 1.11.4 väljaandest, kui see on kompileeritud OpenSSL-iga ja kasutatakse TLSv1.3 protokolli.

Mitte turvalisuse muudatused:

• On lisatud funktsioone, et vähendada ressursi tarbimist ja vähendada CPU koormust TLS-i kasutamisel konfiguratsioonides, kus on palju serveri ja asukoha blokke. Lisatud muudatused võimaldavad, selle asemel et luua iga konfiguratsiooni ploki jaoks eraldi SSL-i konteksti (SSL_CTX OpenSSL-is), kasutada olemasolevat SSL-i konteksti vanemast plokkist.
• Probleemid konfiguratsioonifailide pika laadimisega on lahendatud tänu sama võtmepaki ja tunnistusnimekirjade korduvanalüüsile. TLS-sertifikaatideKonfiguratsiooni taaskäivitamine on kiirem, sest korduvkasutatakse muutumatuid TLS-objekte, nagu sertifikaadid, võtmed ja CRL-d. Objektide pärimise keelamiseks konfiguratsiooni uuendamisel on lisatud direktiiv „ssl_object_cache_inheritable“.
• Lisa on vahetus sertifikaatide ja võtmete vahemälu, mis laaditi üles muutujaid kasutades direktiivides (näiteks „ssl_certificate /etc/ssl/$ssl_server_name.crt“). Vahemälu haldamiseks on lisatud direktiivid „ssl_certificate_cache“, „proxy_ssl_certificate_cache“, „grpc_ssl_certificate_cache“ ja „uwsgi_ssl_certificate_cache“. Nende direktiivide kaudu saab seadistada vahemälu maksimaalse suuruse, salvestuste kehtivuse aja ja mittekasutatavate salvestuste puhastamise aja. Näiteks: „ssl_certificate_cache max=1000 inactive=20s valid=1m;“.
• Lisatud direktiiv „keepalive_min_timeout“, mis määrab aja, mille jooksul nginx ei sulge kliendi keep-alive ühendust.
• Probleem gzip filtriga, mis takistas eelnevalt eraldatud mälu kasutamist, on lahendatud, kui see on kokku pandud zlib-ng raamatukoguga.
• Probleem libatomic raamatu kogumisega, kui kasutate kogumise valikut „—with-libatomic=DIR“, on lahendatud.
• Viga, mis takistas QUIC protokolli kaudu ühenduse loomist 0-RTT kasutamisel, on kõrvaldatud.
• Ignored QUIC-i versiooni kokkuleppe päringud, mis tulenevad klientidelt.
• Solaris 10-s koos ngx_http_v3_module mooduliga esinenud kogumise probleemid on lahendatud.
• HTTP/3 rakenduse vead on parandatud.

Allikas: opennet.ru