Nginxin päähaara 1.31.7 on julkaistu, ja se jatkaa uusien ominaisuuksien kehittämistä. Myös rinnakkainen vakaa haara, nginx 1.30.6, julkaistaan, ja se sisältää vain vakavien virheiden ja haavoittuvuuksien korjaamiseen liittyviä muutoksia. Nämä päivitykset korjaavat viisi haavoittuvuutta:
- CVE-2026-15176 - Puskurin ylivuoto tapahtuu käytettäessä
"alias"-direktiivit konfiguraatioissa, jotka muuttavat pyynnön URI:tä direktiivin kautta
"kirjoita uudelleen" ja ohjaa sen jälkeen tiedostoon. - CVE-2026-93479 - Puskurin ylivuoto ilmenee suoritettaessa merkkijonolausekkeita muuttujien kanssa. Se ilmenee laskettaessa polkua juurihakemistoon ja kirjattaessa pyyntöjä http- ja stream-moduuleihin.
- CVE-2026-95101 — "client_max_body_size"-rajoituksen ohittaminen ja kolmannen osapuolen tietojen korvaaminen välityspalvelimen kautta tehdyllä pyynnöllä lähettämällä väärin muotoiltuja kehyksiä HTTP/3:ssa, joiden sisällöstä osaa voitiin käsitellä pyynnön runkona.
- CVE-2026-97629 - TLS-istunnon väärentäminen, koska yksi istuntoavaimista jätettiin alustamatta rotaation aikana.
- CVE-2026-97205 - SSI-sivuilla käytettäessä "include virtual" -komentoja asynkronisen I/O:n (AIO) yhteydessä on haavoittuvuus, joka mahdollistaa "use-after-free" -toiminnon.
Muut kuin haavoittuvuuksiin liittyvät muutokset nginx 1.31.7:ssä:
- MaxMind (MMDB) -muotoisten tietokantojen tuki on lisätty ngx_http_geoip_module- ja ngx_stream_geoip_module-moduuleihin.
- Toteutettu mahdollisuus tarkistaa IP-osoitteen perusteella SSL-sertifikaatit, käytetään taustalla.
- Toteutettu mahdollisuus määrittää uudelleen ja päivittää suoritettava tiedosto käytettäessä quic_bpf-direktiiviä asetuksissa.
- ngx_http_v2_module-moduuli toteuttaa RFC 9218:n mukaisen priorisointijärjestelmän.
Njs 1.0.2, moduuli JavaScript-tulkin integroimiseksi Nginx HTTP -palvelimeen, on nyt saatavilla. Njs mahdollistaa JavaScript-skriptien käytön määritystiedostoissa Nginxin ominaisuuksien laajentamiseksi. Skriptejä voidaan käyttää kehittyneen pyyntöjen käsittelylogiikan määrittämiseen, määritysten luomiseen, vastausten dynaamiseen luomiseen, pyyntöjen/vastausten muokkaamiseen tai tynkien nopeaan luomiseen verkkosovellusten ongelmien ratkaisemiseksi. Projektikoodi on kirjoitettu C-kielellä ja jaettu BSD-lisenssillä.
NJS 1.0.2 korjaa seuraavat haavoittuvuudet: muistin loppumisen väärin muotoiltuja XML-tietoja jäsennettäessä (CVE-2026-101025) ja allekirjoitetun XML-dokumentin validoinnin rikkomuksen XML-attribuuttien manipuloinnin vuoksi (CVE-2026-101019). XMLNode.getAttributeNS()- ja XMLNode.getChildNS()-metodit on lisätty. Muistin kulutusta NJS-moottorin kääntämisen aikana on vähennetty.
Lähde: opennet.ru
