Tá an príomh-bhrainse de nginx 1.23.2 scaoilte, ina leanann forbairt gnéithe nua, chomh maith le scaoileadh an bhrainse cobhsaí tacaithe comhthreomhar de nginx 1.22.1, nach n-áirítear ach athruithe a bhaineann le deireadh a chur le hearráidí tromchúiseacha agus leochaileachtaí.
Cuireann na leaganacha nua deireadh le dhá leochaileacht (CVE-2022-41741, CVE-2022-41742) sa mhodúl ngx_http_mp4_module, a úsáidtear chun sruthú ó chomhaid san fhormáid H.264/AAC a eagrú. D'fhéadfadh éilliú cuimhne nó sceitheadh cuimhne a bheith mar thoradh ar na leochaileachtaí nuair a bhíonn comhad mp4 saindéanta á phróiseáil. Luaitear deireadh práinneach próisis oibre dá bharr, ach ní eisiatar cineálacha eile, mar shampla forghníomhú cód a eagrú ar an bhfreastalaí.
Is fiú a lua go raibh leochaileacht chomhchosúil socraithe cheana féin sa mhodúl ngx_http_mp4_module in 2012. Ina theannta sin, thuairiscigh F5 leochaileacht den chineál céanna (CVE-2022-41743) sa táirge NGINX Plus, a dhéanann difear don ngx_http_hls_module modúl, a sholáthraíonn tacaíocht don phrótacal HLS (Apple HTTP Live Streaming).
Chomh maith le leochaileachtaí a dhíchur, molann nginx 1.23.2 na hathruithe seo a leanas:
- Tacaíocht bhreise do na hathróga “$ proxy_protocol_tlv_*”, ina bhfuil luachanna na réimsí TLV (Cineál-Fad-Luach) atá le feiceáil sa phrótacal Cineál-Fad-Luach PROXY v2.
- Ar choinníoll go rothlú uathoibríoch na n-eochracha criptithe le haghaidh ticéid seisiúin TLS, a úsáidtear agus cuimhne roinnte á úsáid sa treoir ssl_session_cache.
- Tá an leibhéal logála le haghaidh earráidí a bhaineann le cineálacha mícheart taifead SSL íslithe ó leibhéal ríthábhachtach go leibhéal faisnéise.
- Athraíodh an leibhéal logála do theachtaireachtaí faoin neamhábaltacht cuimhne a leithdháileadh le haghaidh seisiún nua ó rabhadh go rabhadh agus tá sé teoranta d'iontráil amháin a aschur in aghaidh an tsoicind.
- Ar ardán Windows, tá tionól le OpenSSL 3.0 bunaithe.
- Léiriú feabhsaithe ar earráidí prótacail PROXY sa loga.
- Réitíodh saincheist nár oibrigh an teorainn ama a shonraítear sa treoir “ssl_session_timeout” agus TLSv1.3 in úsáid bunaithe ar OpenSSL nó BoringSSL.
Foinse: oscailtenet.ru