Nginx 1.27.0:n uuden päähaaran ensimmäinen julkaisu on esitelty, jonka puitteissa uusien ominaisuuksien kehittäminen jatkuu. Samaan aikaan julkaistiin nginx 1.26.1, joka kuuluu rinnakkaistuettuun vakaaseen haaraan, joka sisältää vain vakavien virheiden ja haavoittuvuuksien poistamiseen liittyviä muutoksia. Ensi vuonna muodostetaan päähaara 1.27.x pohjalta vakaa haara 1.28. Projektikoodi on kirjoitettu C-kielellä ja jaettu BSD-lisenssillä.
Uudet julkaisut korjaavat 4 haavoittuvuutta, jotka vaikuttavat kokeelliseen ngx_http_v3-moduuliin (oletusarvoisesti poissa käytöstä), joka tukee HTTP/3-protokollaa käyttämällä QUIC-protokollaa HTTP/2:n siirtona. Ongelmat ilmenevät vain, kun ngx_http_v3_module-moduuli on aktivoitu ja "quic"-vaihtoehto on asetettu "kuuntele"-ohjeessa. Angie- ja FreeNginx-haarukoiden haavoittuvuudesta ei ole vielä tietoa.
CVE-2024-34161-haavoittuvuus aiheuttaa työntekijöiden prosessimuistin vuotamisen järjestelmissä, joiden MTU-arvo on suurempi kuin 4096 tavua. Muistivuoto tapahtuu, kun yhteysneuvottelussa käytetyt CRYPTO-kehykset lähetetään sen jälkeen, kun asiakas on lähettänyt viimeistelysanoman.
CVE-2024-31079, CVE-2024-32760 ja CVE-2024-35200 muistin vioittumiseen liittyvät haavoittuvuudet antavat etähyökkääjän kaataa nginx-työprosessin luomalla QUIC-protokollaan perustuvan erityisen istunnon. Samanaikaisesti haavoittuvuuksien CVE-2024-31079 ja CVE-2024-32760 osalta muita hyökkäyksen seurauksia ei voida sulkea pois (mahdollista mahdollisuutta suorittaa hyökkääjän koodi?). Yksityiskohtia ei anneta, mutta koodin korjauksista päätellen haavoittuvuudet johtuvat jo vapautetun muistin käyttämisestä (use-after-free), virheellisestä muistin allokoinnista taulukolle, nollaosoittimen viittauksesta ja puutteellisesta koon tarkistamisesta. puskuriin sijoitetut tiedot.
Muutokset, jotka eivät liity nginx 1.27.0:n haavoittuvuuksien poistamiseen:
- Tuki muuttujien määrittämiselle on lisätty "proxy_limit_rate", "fastcgi_limit_rate", "scgi_limit_rate" ja "uwsgi_limit_rate" direktiiveihin.
- Vähentynyt muistinkulutus käsiteltäessä pitkäikäisiä pyyntöjä kokoonpanoissa, jotka käyttävät "gzip-", "gunzip-", "ssi-", "sub_filter"- tai "grpc_pass"-direktiivejä.
- Ratkaistu nollausongelmat GCC 14:ssä käytettäessä "--with-atomic" -vaihtoehtoa.
- HTTP/3-toteutuksen virheet on korjattu.
Lisäksi voimme huomata FreeNginx 1.27.0:n uuden päähaaran, Nginxin haarukan, jonka on kehittänyt Maxim Dunin, yksi Nginxin tärkeimmistä kehittäjistä. FreeNginx on asetettu voittoa tavoittelemattomaksi hankkeeksi, joka tarjoaa Nginx-koodikannan kehittämistä ilman yrityksen väliintuloa. Uudessa versiossa on parannettu virheiden käsittelyä pyynnön rungon lukemisessa, parannettu kokoonpano NetBSD 10.0:ssa ja parannettu PID-tiedostojen kirjoittaminen ("off"-parametri on lisätty "pid"-direktiiviin).
Lähde: opennet.ru
