Nginx 1.29.7 ja 1.28.3 värskendused, milles kõrvaldatakse 6 haavatavust

Välja on antud peamine nginx 1.29.7 versioon, mille raames jätkub uute funktsioone arendamine ning samal ajal toimetatakse koos stabiilse versiooniga nginx 1.28.3, kuhu viiakse ainult muudatused, mis on seotud tõsiste vigade ja haavatavuste kõrvaldamisega. Uuendustes on kõrvaldatud 6 haavatavust, millest kolm võivad põhjustada puhverdamise ülekoormuse. Neljale haavatavusele on määratud kõrge riski tase (8.8 või 8.5 skaalal 10).

• CVE-2026-27654 — puhverdamise ülekoormus ngx_http_dav_module moodulis, mis tekib WebDAV COPY ja MOVE päringute töötlemisel, kui neid kasutatakse alias direktiivi location plokkides. Haavatavus võimaldab muuta failide teid, et pääseda ligi baaskataloogist väljaspool. Probleem tuvastati AI mudeli Claude kasutades.
• CVE-2026-27784, CVE-2026-32647 — puhverdamise ülekoormused ngx_http_mp4_module moodulis, mis tekivad spetsiaalselt vormindatud mp4 failide töötlemisel. Ei saa välistada, et haavatavuse ärakasutamine ei piirdu ainult protsessi ootamatu katkestamisega.
• CVE-2026-27651 — nulli näitaja dereferentsimine CRAM-MD5 või APOP autentimise meetodite vale kasutamise korral.
• CVE-2026-28753 — võimalus DNS-i PTR-kirjade manipuleerimiseks, et asendada rünnaku andmed auth_http päringutes ja XCLIENT käsus SMTP ühenduses backendiga.
• CVE-2026-28755 — OCSP sertifikaadi kontrollimise tulemuse ümbersõit stream moodulis.

Nginx 1.29.7 teadlik mittevastavuste muutustest

• Toetatud on Multipath TCP (MPTCP) protokoll, mis võimaldab pakettide saatmist mitme marsruudi kaudu erinevate võrgu liideste kaudu. Direktiivi listen on lisatud multipath parameeter.
• Direktiivi keepalive, mida kasutatakse upstream plokis, on lisatud parameeter local. Kui see parameeter on määratud, ei jagata ühte ühendust ühise upstream-serveriga, mida mainitakse erinevates location ja server plokkides, vaid iga ploki jaoks toetatakse eraldi ühendust upstream-iga.
• Upstream plokis on vaikimisi aktiveeritud keepalive direktiiv.
• Proksirežiimi kasutamisel on vaikimisi seadistatud HTTP/1.1 protokolli versioon koos keep-alive režiimi aktiveerimisega (ngx_http_proxy_module moodulis on keep-alive tugi vaikimisi lubatud ja direktiivis 'proxy_http_version' on seadistatud väärtus '1.1', mille tulemusena lõpetatakse vaikimisi 'Connection' päise saatmine). Vanema käitumise taastamiseks, mis võimaldab ühendust luua ainult HTTP/1.0 toetavate taustteenustega, tuleks seada järgmised sätted: proxy_http_version 1.0; proxy_set_header Connection 'Close';

Allikas: opennet.ru