{"id":116173,"date":"2024-05-30T00:20:28","date_gmt":"2024-05-29T22:20:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/novaya-versiya-nginx-1-27-0-c-ustraneniem-4-uyazvimostej-v-realizaczii-http-3"},"modified":"2024-05-30T00:20:28","modified_gmt":"2024-05-29T22:20:28","slug":"novaya-versiya-nginx-1-27-0-c-ustraneniem-4-uyazvimostej-v-realizaczii-http-3","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/novaya-versiya-nginx-1-27-0-c-ustraneniem-4-uyazvimostej-v-realizaczii-http-3","title":{"rendered":"Uus versioon nginx 1.27.0, mis lahendab 4 haavatavust HTTP\/3 rakenduses","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Esitati uusima versiooni nginx 1.27.0, mille raames j\u00e4tkatakse uute v\u00f5imaluste arendamist. Samuti on v\u00e4lja antud nginx 1.26.1, mis kuulub paralleelselt toetatava stabiilse haru alla, kuhu viidatakse ainult t\u00f5siste vigade ja haavatavuste k\u00f5rvaldamise muudatused. J\u00e4rgmise aasta jooksul luuakse p\u00f5hiharu 1.27.x baasil stabiilne haru 1.28. Projekti kood on kirjutatud C keeles ja jagatakse BSD litsentsiga. <\/p>\n
Uutes v\u00e4ljaannetes on k\u00f5rvaldatud 4 haavatavust, mis m\u00f5jutavad katsetamismoduuli ngx_http_v3 (vaikimisi keelatud), mis toetab HTTP\/3 protokolli, kasutades QUIC protokolli HTTP\/2 jaoks. Probleemid ilmnevad ainult siis, kui aktiveeritakse ngx_http_v3_module ja seadistatakse 'quic' direktiivis 'listen'. Angie ja FreeNginxi forkide haavatavuste kohta pole praegu teavet. <\/p>\n
CVE-2024-34161 haavatavus viib t\u00f6\u00f6protsessi m\u00e4lusisalduse leket s\u00fcsteemides, mille MTU on seadistatud \u00fcle 4096 bitti. M\u00e4lusisalduse leke tekib siis, kui saadetakse CRYPTO kaadreid, mida kasutatakse \u00fchenduse moodustamise ajal p\u00e4rast kliendi l\u00f5pp-s\u00f5numi saatmist. <\/p>\n
CVE-2024-31079, CVE-2024-32760 ja CVE-2024-35200 haavatavused on p\u00f5hjustatud m\u00e4lu kahjustusest ja v\u00f5imaldavad kaugemal asuval r\u00fcndajal saavutada nginx t\u00f6\u00f6protsessi kokkuvarisemise, luues spetsiaalselt kujundatud QUIC protokolli seansi. Samuti ei saa v\u00e4listada teiste r\u00fcnnaku tagaj\u00e4rgede esinemist (potentsiaalne koodij\u00f5udmine r\u00fcndaja poolt?). \u00dcksikasju ei esitata, kuid koodeksi parandustest on j\u00e4reldatud, et haavatavused tulenevad juba vabastatud m\u00e4lu (use-after-free) juurde p\u00e4\u00e4semisest, vale m\u00e4lu eraldamisest massiivi jaoks, nullviidatu dereferentsimisest ja andmete puhverserverisse paigutatavate suuruse kontrollimise puudumisest. <\/p>\n
Nginx 1.27.0-s on muudatusi, mis ei ole seotud haavatavuste k\u00f5rvaldamisega: <\/p>\n
\n
Direktiivides 'proxy_limit_rate', 'fastcgi_limit_rate', 'scgi_limit_rate' ja 'uwsgi_limit_rate' on lisatud tugitavate muutujate m\u00e4\u00e4ramine.\n
M\u00e4lu tarbimist on v\u00e4hendatud pikaajaliste p\u00e4ringute t\u00f6\u00f6tlemisel konfiguratsioonides, kus kasutatakse direktiive 'gzip', 'gunzip', 'ssi', 'sub_filter' v\u00f5i 'grpc_pass'.\n
GCC 14 rakendamisel -with-atomic valiku kasutamisel on lahendatud t\u00f5rked.\n
Parandatud vead HTTP\/3 rakenduses. <\/ul>\n
Lisaks on v\u00e4lja antud uus FreeNginx 1.27.0 p\u00f5hiversioon, Nginxi fork, mida arendab Maksim Dunin, \u00fcks Nginxi peamisi arendajaid. FreeNginx positsioneeritakse kui mittetulunduslik projekt, mis tagab Nginxi koodibaasi arendamise ilma ettev\u00f5tlussekkumiseta. Uues versioonis on paranenud vigade t\u00f6\u00f6tlemine p\u00e4ringu keha lugemisel, NetBSD 10.0 koosseis on parandakohane ja PID-failide kirjutamine on paranenud (direktiivi 'pid' on lisatud parameeter 'off'). \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"