Ua hōʻike ʻia ka hoʻokuʻu mua o ka lālā nui hou o nginx 1.27.0, i loko e hoʻomau ai ka hoʻomohala ʻana o nā hiʻohiʻona hou. I ka manawa like, ua hoʻokuʻu ʻia ka nginx 1.26.1, nona ka lālā paʻa i kākoʻo ʻia, kahi wale nō nā loli e pili ana i ka hoʻopau ʻana i nā hewa koʻikoʻi a me nā nāwaliwali. ʻO ka makahiki aʻe, e pili ana i ka lālā nui 1.27.x, e hoʻokumu ʻia kahi lālā paʻa 1.28. Ua kākau ʻia ke code papahana ma C a māhele ʻia ma lalo o ka laikini BSD.
Hoʻoponopono nā hoʻokuʻu hou i nā mea nāwaliwali 4 e pili ana i ka module ngx_http_v3 hoʻokolohua (hoʻopau ʻia e ka paʻamau), e hāʻawi i ke kākoʻo no ka protocol HTTP/3 me ka hoʻohana ʻana i ka protocol QUIC ma ke ʻano he halihali no HTTP/2. ʻIke wale ʻia nā pilikia i ka wā e hoʻāla ʻia ai ka module ngx_http_v3_module a ua hoʻonohonoho ʻia ke koho "quic" ma ke kuhikuhi "hoʻolohe". ʻAʻohe huaʻōlelo e pili ana i ka nāwaliwali o ka Angie a me FreeNginx forks.
ʻO ka haʻahaʻa CVE-2024-34161 ka mea e hoʻoheheʻe ai ka hoʻomanaʻo kaʻina hana o nā limahana ma nā ʻōnaehana me ka waiwai MTU ma mua o 4096 bytes. Hoʻopuka ʻia kahi leka hoʻomanaʻo ke hoʻouna ʻia nā kiʻi CRYPTO i hoʻohana ʻia ma ke kūkākūkā pili ma hope o ka hoʻouna ʻana o ka mea kūʻai i ka memo hoʻopau.
ʻO ka CVE-2024-31079, CVE-2024-32760, a me CVE-2024-35200 ka hoʻohaʻahaʻa hoʻomanaʻo hoʻomanaʻo e ʻae i kahi mea hoʻouka mamao e hoʻopau i kahi kaʻina hana nginx ma o ka hoʻokumu ʻana i kahi hālāwai i hana ʻia e pili ana i ka protocol QUIC. I ka manawa like, no nā haʻahaʻa CVE-2024-31079 a me CVE-2024-32760, ʻaʻole hiki ke kāpae ʻia nā hopena ʻē aʻe o ka hoʻouka ʻana (ʻo ka hiki ke hoʻokō i ke code a ka mea hoʻouka?). ʻAʻole i hāʻawi ʻia nā kikoʻī, akā i ka hoʻoholo ʻana e ka hoʻoponopono ʻana i ke code, ua hoʻokumu ʻia nā nāwaliwali ma ke komo ʻana i ka hoʻomanaʻo i hoʻokuʻu ʻia (hoʻohana-ma hope-free), ka hoʻokaʻawale ʻana i ka hoʻomanaʻo hewa ʻole no kahi array, ka hōʻole ʻana o ka pointer null a me ka nele o ka nānā pono ʻana i ka nui. ʻikepili i waiho ʻia i loko o ka buffer.
Ma waena o nā hoʻololi i pili ʻole i ka hoʻopau ʻana i nā nāwaliwali i ka nginx 1.27.0:
- Ua hoʻohui ʻia ke kākoʻo no ka wehewehe ʻana i nā ʻano like ʻole i ka "proxy_limit_rate", "fastcgi_limit_rate", "scgi_limit_rate" a me "uwsgi_limit_rate" kuhikuhi.
- Hoʻemi ʻia ka hoʻohana ʻana i ka hoʻomanaʻo i ka wā e hana ai i nā noi lōʻihi i nā hoʻonohonoho e hoʻohana ana i nā kuhikuhi "gzip", "gunzip", "ssi", "sub_filter" a i ʻole "grpc_pass".
- Hoʻoholo ʻia nā pilikia me ka hoʻihoʻi hou ʻana i ka GCC 14 i ka wā e hoʻohana ai i ke koho "--me-atomic".
- Ua hoʻopaʻa ʻia nā pōpoki i ka hoʻokō HTTP/3.
Eia hou, hiki iā mākou ke hoʻomaopopo i ka paʻi ʻana o ka lālā nui hou o FreeNginx 1.27.0, kahi ʻōpala o Nginx i hoʻomohala ʻia e Maxim Dunin, kekahi o nā mea hoʻomohala nui o Nginx. Hoʻonoho ʻia ʻo FreeNginx ma ke ʻano he papahana waiwai ʻole e hāʻawi ana i ka hoʻomohala ʻana i ka waihona code Nginx me ka ʻole o ka ʻoihana. Ua hoʻomaikaʻi ka mana hou i ka lawelawe hewa ʻana i ka heluhelu ʻana i ke kino noi, hoʻomaikaʻi i ka hui ʻana ma NetBSD 10.0, a hoʻomaikaʻi i ke kākau ʻana i nā faila PID (ua hoʻohui ʻia ka ʻāpana "off" i ke kuhikuhi "pid".
Source: opennet.ru
