Esitletud on nginx 1.27.0 uue põhiharu esimene väljalase, mille raames jätkub uute funktsioonide arendamine. Samal ajal ilmus nginx 1.26.1, mis kuulub paralleelselt toetatud stabiilsesse harusse, mis sisaldab ainult tõsiste vigade ja haavatavuste kõrvaldamisega seotud muudatusi. Järgmisel aastal moodustatakse põhiharu 1.27.x baasil stabiilne haru 1.28. Projekti kood on kirjutatud C-keeles ja seda levitatakse BSD litsentsi all.
Uued väljaanded parandavad 4 haavatavust, mis mõjutavad eksperimentaalset ngx_http_v3 moodulit (vaikimisi keelatud), mis toetab HTTP/3 protokolli, kasutades HTTP/2 transpordina QUIC-protokolli. Probleemid ilmnevad ainult siis, kui moodul ngx_http_v3_module on aktiveeritud ja suvand "quic" on seatud "kuulamise" direktiivis. Angie ja FreeNginxi kahvlite haavatavuse kohta pole veel ühtegi sõna.
CVE-2024-34161 haavatavus põhjustab töötajate protsessimälu lekke süsteemides, mille MTU väärtus on suurem kui 4096 baiti. Mäluleke ilmneb siis, kui ühenduse läbirääkimistel kasutatavad CRYPTO kaadrid saadetakse pärast seda, kui klient saadab lõputeate.
Mälu kahjustamise haavatavused CVE-2024-31079, CVE-2024-32760 ja CVE-2024-35200 võimaldavad kaugründajal nginxi tööprotsessis krahhi teha, luues QUIC-protokollil põhineva spetsiaalselt loodud seansi. Samal ajal ei saa turvaaukude CVE-2024-31079 ja CVE-2024-32760 puhul välistada muid rünnaku tagajärgi (potentsiaalne võimalus käivitada ründaja kood?). Üksikasju ei ole antud, kuid koodi paranduste põhjal otsustades on haavatavused põhjustatud juba vaba mälule juurdepääsust (use-after-free), valest massiivi mälujaotusest, null-osuti viitest ja korrektse suuruse kontrollimise puudumisest. puhvrisse paigutatud andmed.
Muudatuste hulgas, mis ei ole seotud nginx 1.27.0 haavatavuste kõrvaldamisega:
- Muutujate määramise tugi on lisatud direktiividele "proxy_limit_rate", "fastcgi_limit_rate", "scgi_limit_rate" ja "uwsgi_limit_rate".
- Väiksem mälutarbimine pikaajaliste päringute töötlemisel konfiguratsioonides, mis kasutavad direktiive "gzip", "gunzip", "ssi", "sub_filter" või "grpc_pass".
- Lahendatud on GCC 14 lähtestamise probleemid, kui kasutati suvandit "--with-atomic".
- HTTP/3 juurutamise vead on parandatud.
Lisaks võime märkida FreeNginxi 1.27.0 uue põhiharu avaldamist, Nginxi hargi, mille on välja töötanud Maxim Dunin, üks Nginxi peamisi arendajaid. FreeNginx on positsioneeritud mittetulundusliku projektina, mis pakub Nginxi koodibaasi arendamist ilma ettevõtte sekkumiseta. Uus versioon on parandanud vigade käsitlemist päringu keha lugemisel, NetBSD 10.0 komplekteerimist ja PID-failide kirjutamist (parameeter "väljas" on lisatud "pid" direktiivile).
Allikas: opennet.ru
