Nginx 1.25.4-s on lahendatud kaks HTTP/3-ga seotud haavatavust.

Kujundati nginx 1.25.4 põhiharu, mille raames jätkub uute võimaluste arendamine. Paralleelselt toetatavas stabiilses harus 1.24.x tehakse muudatusi ainult tõsiste vigade ja haavatavuste kõrvaldamiseks. Tulevikus luuakse põhiharu 1.25.x alusel stabiilne haru 1.26. Projekti kood on kirjutatud C keeles ja levitatakse BSD litsentsi alusel.

Uues versioonis on kõrvaldatud kaks haavatavust eksperimentaalses http_v3_module moodulis (vaikimisi keelatud), mis toetab HTTP/3 protokolli, kasutades QUIC protokolli HTTP/2 transpordina. Esimene haavatavus (CVE-2024-24989) tuleneb nullpointeri dereferentsimisest ja teine (CVE-2024-24990) mälule juurdepääsust pärast selle vabastamist. Muudatuste nimekirjas väidetakse, et mõlemad haavatavused võivad põhjustada ainult tööprotsessi järsu lõpetamise spetsiaalsete QUIC sessioonide käsitlemisel, kuid teise haavatavuse puhul näib, et tõsisemate tagajärgude analüüsi ei ole läbi viidud.

Uue versiooni füüsikaliste vigade kõrvaldamise peale on tehtud ka üldine täiustamine ja parandused HTTP/3 rakenduses ning lahendatud soklite lekkimise, soklite vigade või AIO kasutamisel tekkiva avariilise sulgemise probleemid. Eelmiste töötajate pehme sulgemise ajal lahendati probleem, kus ühendused suleti enneaegselt lõpetamata AIO-operatsioonide tõttu. Vead, mis viisid 415 koodi vigade päringute ümber suunamise avariilise sulgemiseni direktiivi error_page kaudu, on samuti kõrvaldatud. SSL-proksimise ja direktiivi image_filter.

Lisaks toimus paar päeva tagasi njs 0.8.4, JavaScripti tõlgendi väljalaskmine, veebiserver nginxile. njs tõlgendaja rakendab ECMAScripti standardeid ja võimaldab nginxil laiendada oma võimalusi päringute töötlemisel skriptide abil konfiguratsioonis. Skripte saab kasutada konfiguratsioonifailis, et määrata päringute töötlemise laiendatud loogikat, genereerida konfiguratsiooni, dünaamiliselt vastuseid luua, päringut/vastust muuta või kiirelt luua stub'e veebirakendustes esinevate probleemide lahendamiseks. Uues versioonis on märgitud ainult vea parandused.

Allikas: opennet.ru