{"id":116173,"date":"2024-05-30T00:20:28","date_gmt":"2024-05-29T22:20:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/novaya-versiya-nginx-1-27-0-c-ustraneniem-4-uyazvimostej-v-realizaczii-http-3"},"modified":"2024-05-30T00:20:28","modified_gmt":"2024-05-29T22:20:28","slug":"novaya-versiya-nginx-1-27-0-c-ustraneniem-4-uyazvimostej-v-realizaczii-http-3","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/novaya-versiya-nginx-1-27-0-c-ustraneniem-4-uyazvimostej-v-realizaczii-http-3","title":{"rendered":"Uus versioon nginx 1.27.0, kus on k\u00f5rvaldatud 4 haavatavust HTTP\/3 rakenduses","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Esimene v\u00e4ljalase uue p\u00f5hiharu nginx 1.27.0 on esitatud, mille raames j\u00e4tkatakse uute v\u00f5imaluste arendamist. Samuti on v\u00e4lja antud nginx 1.26.1, mis kuulub samal ajal toetatud stabiilsesse harusse, kuhu tehakse ainult parandusi t\u00f5siste vigade ja haavatavuste likvideerimiseks. J\u00e4rgmise aasta jooksul luuakse p\u00f5hiharu 1.27.x alusel stabiilne hargne 1.28. Projekti kood on kirjutatud programmeerimiskeeles C ja jagatakse BSD litsentsi alusel. <\/p>\n
Uute v\u00e4ljaannete puhul on k\u00f5rvaldatud 4 turvahaavatavust, mis puudutavad katset moodulit ngx_http_v3 (vaikimisi v\u00e4lja l\u00fclitatud), mis toetab protokolli HTTP\/3 ja kasutab QUIC-i edastusena HTTP\/2 jaoks. Probleemid ilmnevad ainult ngx_http_v3_module mooduli aktiveerimisel ja valiku \"quic\" seadmisel direktiivis \"listen\". Angie ja FreeNginxi harude haavatavuse kohta pole seni mingeid teateid. <\/p>\n
Haavatavus CVE-2024-34161 p\u00f5hjustab m\u00e4lukandjate lekkimist t\u00f6\u00f6protsesside kaudu s\u00fcsteemides, mille MTU on m\u00e4\u00e4ratud \u00fcle 4096 baidi. M\u00e4lu lekkimine toimub siis, kui CRYPTO kaadrid, mida kasutatakse \u00fchenduse l\u00e4bir\u00e4\u00e4kimisel, saadetakse p\u00e4rast kliendi l\u00f5pp-s\u00f5numi saatmist. <\/p>\n
Haavatavused CVE-2024-31079, CVE-2024-32760 ja CVE-2024-35200 on p\u00f5hjustatud m\u00e4lu rikkumisest ja v\u00f5imaldavad eemalt r\u00fcndajal provootseerida nginx-i t\u00f6\u00f6protsessi kokku kukkumist, luues spetsiaalselt vormindatud seansi QUIC protokolli alusel. CVE-2024-31079 ja CVE-2024-32760 haavatavustega ei v\u00e4listata ka muid r\u00fcnnaku tagaj\u00e4rgi (potentsiaalne koodij\u00f5ud). \u00dcksikasju ei esitata, kuid tundub, et haavatavused on p\u00f5hjustatud juba vabastatud m\u00e4lu kasutamisest (use-after-free), vale m\u00e4ludele eraldamise tagaj\u00e4rjel massiivi jaoks, nullviidate demosioonist ja ebapiisava kontrolli t\u00f5ttu andmete suuruse \u00fcle, mis on puhvris. <\/p>\n
Non haavatavuste likvideerimisega seotud muudatused nginx 1.27.0-s: <\/p>\n
\n
Direktiivides \"proxy_limit_rate\", \"fastcgi_limit_rate\", \"scgi_limit_rate\" ja \"uwsgi_limit_rate\" on lisatud tugi muutujate n\u00e4itamiseks.\n
M\u00e4lu tarbimine on v\u00e4henenud pikaajaliste p\u00e4ringute t\u00f6\u00f6tlemisel konfigureerimistes, kus kasutatakse direktiive \"gzip\", \"gunzip\", \"ssi\", \"sub_filter\" v\u00f5i \"grpc_pass\".\n
Probleemid GCC 14 kokkuvarisemisega, kui kasutatakse valikut \"--with-atomic\", on lahendatud.\n
HTTP\/3 rakenduse vead on parandatud. <\/ul>\n
Lisaena v\u00f5ib mainida FreeNginx uue p\u00f5hiharu 1.27.0 v\u00e4ljaandmist, Nginx-haru, mida arendab Maksim Dunin, \u00fcks Nginxi v\u00f5tmearendajatest. FreeNginx positsioneeritakse kui mittetulundusprojekt, mis pakub Nginxi koodibaasi arendamise v\u00f5imalusi ilma ettev\u00f5tete sekkumiseta. Uues versioonis on paranenud veahaldus p\u00e4ringu keha lugemise ajal, parendatud kogumist NetBSD 10.0-s ning t\u00e4iustatud PID-failide kirjutamist (direktiivi \"pid\" on lisatud parameeter \"off\"). \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"