Mise à jour de nginx 1.31.7 et njs 1.0.2 avec correction des vulnérabilités

La version principale d’nginx 1.31.7 a été publiée, poursuivant le développement de nouvelles fonctionnalités, ainsi que le lancement simultané de la version stable d’nginx 1.30.6, qui n’intègre que des changements liés à la correction de graves bugs et vulnérabilités. Cinq vulnérabilités ont été corrigées dans cette mise à jour :

• CVE-2026-15176 — débordement de tampon, se manifestant lors de l'utilisation
  de la directive « alias » dans des configurations modifiant l'URI de la requête via la directive
  « rewrite » avec redirection vers un fichier.
• CVE-2026-93479 — débordement de tampon, se produisant lors de l'exécution d'expressions de chaîne avec des variables et se manifestant lors du calcul du chemin vers le répertoire racine et lors de la journalisation des requêtes dans les modules http et stream.
• CVE-2026-95101 — contournement de la limite « client_max_body_size » et injection de données tierces dans la requête proxy via l'envoi de trames incorrectes en HTTP/3, dont une partie du contenu pouvait être traitée comme le corps de la requête.
• CVE-2026-97629 — contrefaçon de sessions TLS en raison d'une non-initialisation d'une des clés de session lors de la rotation.
• CVE-2026-97205 — accès à la mémoire après sa libération (use-after-free), se produisant lors de l'utilisation sur les pages SSI des commandes « include virtual » combinées à l'utilisation d'entrées/sorties asynchrones (AIO).

Modifications non liées aux vulnérabilités dans nginx 1.31.7 :

• Les modules ngx_http_geoip_module et ngx_stream_geoip_module ont ajouté le support des bases de données au format MaxMind (MMDB).
• La possibilité de vérification par adresse IP de certificats SSL, utilisée en backend.
• Des capacités de reconfiguration et de mise à jour de l’exécutable ont été mises en place lors de l'utilisation de la directive quic_bpf dans les paramètres.
• Dans le module ngx_http_v2_module, un schéma de priorisation conforme à la RFC 9218 a été implémenté.

La version njs 1.0.2 est également disponible, un module pour intégrer l'interpréteur JavaScript dans le serveur http nginx. Njs permet d'utiliser des scripts JavaScript dans les fichiers de configuration pour étendre les fonctionnalités d’nginx. Les scripts peuvent être utilisés pour définir une logique de traitement des requêtes, générer dynamiquement des réponses, modifier des requêtes/réponses ou créer rapidement des solutions de contournement pour des problèmes dans des applications web. Le code du projet est écrit en C et distribué sous licence BSD.

Dans la version njs 1.0.2, des vulnérabilités ont été corrigées : une épuisement de la mémoire disponible lors de l'analyse de données XML incorrectes (CVE-2026-101025) et une violation de la vérification d'un document XML signé par une manipulation des attributs XML (CVE-2026-101019). Les méthodes XMLNode.getAttributeNS() et XMLNode.getChildNS() ont été ajoutées. La consommation de mémoire lors de la compilation dans le moteur njs a été réduite.

Source : opennet.ru