{"id":166097,"date":"2026-03-25T11:12:50","date_gmt":"2026-03-25T09:12:50","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej"},"modified":"2026-03-25T11:12:50","modified_gmt":"2026-03-25T09:12:50","slug":"obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej","title":{"rendered":"Mises \u00e0 jour nginx 1.29.7 et 1.28.3 avec correction de 6 vuln\u00e9rabilit\u00e9s.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La version principale de nginx 1.29.7 a \u00e9t\u00e9 publi\u00e9e, o\u00f9 le d\u00e9veloppement de nouvelles fonctionnalit\u00e9s se poursuit, ainsi que la publication de la version stable parall\u00e8le 1.28.3 de nginx, qui ne re\u00e7oit que des modifications li\u00e9es \u00e0 la correction de bogues critiques et de vuln\u00e9rabilit\u00e9s. Les mises \u00e0 jour corrigent 6 vuln\u00e9rabilit\u00e9s, dont trois entra\u00eenent un d\u00e9bordement de tampon. Quatre vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 class\u00e9es comme hautement critiques (8.8 ou 8.5 sur 10). <\/p>\n
\n
CVE-2026-27654 \u2014 d\u00e9bordement de tampon dans le module ngx_http_dav_module, survenant lors du traitement des requ\u00eates WebDAV COPY et MOVE lorsqu'elles sont utilis\u00e9es dans des blocs \u00ab location \u00bb de la directive \u00ab alias \u00bb. Cette vuln\u00e9rabilit\u00e9 permet de modifier les chemins des fichiers pour acc\u00e9der en dehors du r\u00e9pertoire de base. Le probl\u00e8me a \u00e9t\u00e9 identifi\u00e9 en utilisant le mod\u00e8le AI Claude.\n
CVE-2026-27784, CVE-2026-32647 \u2014 d\u00e9bordements de tampon dans le module ngx_http_mp4_module, survenant lors du traitement de fichiers mp4 sp\u00e9cialement con\u00e7us. Il n'est pas exclu que l'exploitation de la vuln\u00e9rabilit\u00e9 ne se limite pas \u00e0 un arr\u00eat anormal du processus.\n
CVE-2026-27651 \u2014 d\u00e9r\u00e9f\u00e9rencement d'un pointeur nul lors d'une utilisation incorrecte des m\u00e9thodes d'authentification CRAM-MD5 ou APOP.\n
CVE-2026-28753 \u2014 possibilit\u00e9 de manipulation des enregistrements PTR dans DNS pour substituer des donn\u00e9es de l'attaquant dans les requ\u00eates auth_http et la commande XCLIENT dans la connexion SMTP vers le backend.\n
CVE-2026-28755 \u2014 contournement du r\u00e9sultat de v\u00e9rification OCSP du certificat dans le module stream. <\/ul>\n
Parmi les modifications non li\u00e9es \u00e0 la s\u00e9curit\u00e9 dans nginx 1.29.7 <\/p>\n
\n
Ajout du support du protocole Multipath TCP (MPTCP), permettant de livrer des paquets simultan\u00e9ment par plusieurs chemins via diff\u00e9rentes interfaces r\u00e9seau. Pour l'activation, un param\u00e8tre 'multipath' a \u00e9t\u00e9 ajout\u00e9 \u00e0 la directive 'listen'.\n
Un param\u00e8tre \u00ab local \u00bb a \u00e9t\u00e9 ajout\u00e9 \u00e0 la directive \u00ab keepalive \u00bb utilis\u00e9e dans le bloc \u00ab upstream \u00bb. En sp\u00e9cifiant ce param\u00e8tre, plut\u00f4t que d'utiliser une seule connexion partag\u00e9e au serveur upstream commun mentionn\u00e9 dans diff\u00e9rents blocs location et server, chaque bloc prend en charge une connexion distincte \u00e0 l'upstream.\n
La directive \u00ab keepalive \u00bb est activ\u00e9e par d\u00e9faut dans le bloc \u00ab upstream \u00bb.\n
Lors de l'utilisation en mode proxy, la version du protocole HTTP\/1.1 est d\u00e9finie par d\u00e9faut avec l'activation du mode keep-alive (dans le module ngx_http_proxy_module, la prise en charge du keep-alive est activ\u00e9e par d\u00e9faut et la valeur \u00ab 1.1 \u00bb est d\u00e9finie dans la directive \u00ab proxy_http_version \u00bb, et l'envoi par d\u00e9faut de l'en-t\u00eate \u00ab Connection \u00bb a \u00e9t\u00e9 interrompu). Pour revenir au comportement ancien permettant d'acc\u00e9der \u00e0 des backends ne prenant en charge que HTTP\/1.0, il convient de d\u00e9finir les param\u00e8tres : proxy_http_version 1.0; proxy_set_header Connection \u00ab Close \u00bb; <\/ul>\n