Esitletakse uue põhiharu nginx 1.21.0 esimest versiooni, mille raames jätkatakse uute võimaluste arendamist. Samuti on ette valmistatud korrektsiooniversioon paralleelselt toetaud stabiilses harus 1.20.1, kus tehakse ainult muudatusi, mis on seotud tõsiste vigade ja haavatavuste kõrvaldamisega. Järgmise aasta jooksul moodustatakse põhiharul 1.21.x stabiilne haru 1.22.
Uutes versioonides on kõrvaldatud haavatavus (CVE-2021-23017) hostinimede lahendamise koodis DNS-is, mis võib põhjustada kokkuvarisemise või potentsiaalselt ründaja koodi täitmise. Probleem ilmneb teatud DNS-serveri vastuste töötlemisel, mis viib ühe baitise ülevooluni. Haavatavus ilmneb ainult DNS-resolveri seadetes, kui see on aktiveeritud direktiivi „resolver“ abil. Rünnaku läbiviimiseks peab ründajal olema võimalus petta DNS-serverilt saadetud UDP-pakette või saada kontroll DNS-serveri üle. Haavatavus ilmneb alates nginx 0.6.18 väljalaskest. Probleemi lahendamiseks vanades väljaannetes võib kasutada plaastrit.
Muudatused nginx 1.21.0, mis ei ole seotud turvalisusega:
- Direktiivides «proxy_ssl_certificate», «proxy_ssl_certificate_key», «grpc_ssl_certificate», «grpc_ssl_certificate_key», «uwsgi_ssl_certificate» ja «uwsgi_ssl_certificate_key» on lisatud muutujate tugi.
- Postiproxy moodulisse on lisatud „pipelining“ tugi mitme POP3 või IMAP päringu edastamiseks ühes ühenduses ning lisatud uus direktiiv „max_errors“, mis määrab protokolli maksimaalse veateate arvu, pärast mille sulgemist ühendus katkestatakse.
- Stream-moodulisse on lisatud parameeter «fastopen», mis aktiveerib «TCP Fast Open» režiimi kuulamisportide jaoks.
- Lahendatud probleemid erimärkide escaping'uga automaatsete suunamiste puhul, kus lõppu lisatakse kaldkriips.
- Lahendatud probleem klientide ühenduste sulgemisel SMTP pipelining'u kasutamisel.
Allikas: opennet.ru
