Ua hoʻokuʻu ʻia ka lālā nui o ka nginx 1.23.2, kahi e hoʻomau ai ka hoʻomohala ʻana i nā hiʻohiʻona hou, a me ka hoʻokuʻu ʻana i ka lālā paʻa i kākoʻo ʻia o ka nginx 1.22.1, kahi wale nō nā loli e pili ana i ka hoʻopau ʻana i nā hewa koʻikoʻi. nawaliwali.
Hoʻopau nā mana hou i ʻelua mau nāwaliwali (CVE-2022-41741, CVE-2022-41742) i loko o ka module ngx_http_mp4_module, i hoʻohana ʻia e hoʻonohonoho i ke kahe ʻana mai nā faila ma ke ʻano H.264/AAC. Hiki i nā mea nāwaliwali ke alakaʻi i ka palaho hoʻomanaʻo a i ʻole leak hoʻomanaʻo i ka wā e hoʻoponopono ai i kahi faila mp4 i hana ʻia. ʻO ka hoʻopau pilikia o kahi kaʻina hana i ʻōlelo ʻia ma muli o ka hopena, akā ʻaʻole i haʻalele ʻia nā hōʻike ʻē aʻe, e like me ka hoʻonohonoho ʻana o ka hoʻokō code ma ka kikowaena.
He mea ʻike ʻia ua hoʻopaʻa mua ʻia kahi nāwaliwali like i ka module ngx_http_mp4_module ma 2012. Eia kekahi, ua hōʻike ʻo F5 i kahi nāwaliwali like (CVE-2022-41743) i ka huahana NGINX Plus, e pili ana i ka module ngx_http_hls_module, e hāʻawi i ke kākoʻo no ka protocol HLS (Apple HTTP Live Streaming).
Ma kahi o ka hoʻopau ʻana i nā mea nāwaliwali, ua manaʻo ʻia nā hoʻololi aʻe i ka nginx 1.23.2:
- Hoʻohui ʻia ke kākoʻo no nā ʻano hoʻololi "$proxy_protocol_tlv_*", aia nā waiwai o nā kahua TLV (Type-Length-Value) i ʻike ʻia ma ka protocol Type-Length-Value PROXY v2.
- Hāʻawi ʻia i ka hoʻololi ʻana i nā kī hoʻopunipuni no nā tikiki kau TLS, i hoʻohana ʻia i ka wā e hoʻohana ai i ka hoʻomanaʻo like ʻana ma ke kuhikuhi ssl_session_cache.
- Ua hoʻohaʻahaʻa ʻia ka pae logging no nā hewa e pili ana i nā ʻano palapala SSL hewa mai ka pae koʻikoʻi i ka pae ʻike.
- Ua hoʻololi ʻia ka pae logging no nā memo e pili ana i ka hiki ʻole ke hoʻokaʻawale i ka hoʻomanaʻo no kahi kau hou mai ka makaʻala i ka ʻōlelo aʻo ʻana a ua kaupalena ʻia i ka hoʻopuka ʻana i hoʻokahi komo i kēlā me kēia kekona.
- Ma ka paepae Windows, ua hoʻokumu ʻia ka hui me OpenSSL 3.0.
- Hoʻomaikaʻi i ka noʻonoʻo ʻana i nā hewa protocol PROXY i ka log.
- Ua hoʻoponopono i kahi pilikia kahi i hoʻohana ʻole ʻia ai ka manawa i kuhikuhi ʻia ma ke kuhikuhi "ssl_session_timeout" i ka wā e hoʻohana ai iā TLSv1.3 e pili ana i OpenSSL a i ʻole BoringSSL.
Source: opennet.ru