कमजोरियों को ठीक करने के साथ Nginx 1.22.1 और 1.23.2 अपडेट

nginx 1.23.2 की मुख्य शाखा जारी की गई है, जिसके अंतर्गत नई सुविधाओं का विकास जारी है, साथ ही nginx 1.22.1 की समानांतर समर्थित स्थिर शाखा जारी की गई है, जिसमें केवल गंभीर त्रुटियों के उन्मूलन से संबंधित परिवर्तन शामिल हैं और कमजोरियाँ।

नए संस्करण ngx_http_mp2022_module मॉड्यूल में दो कमजोरियों (CVE-41741-2022, CVE-41742-4) को खत्म करते हैं, जिनका उपयोग H.264/AAC प्रारूप में फ़ाइलों से स्ट्रीमिंग को व्यवस्थित करने के लिए किया जाता है। विशेष रूप से तैयार की गई mp4 फ़ाइल को संसाधित करते समय कमजोरियाँ मेमोरी भ्रष्टाचार या मेमोरी लीक का कारण बन सकती हैं। परिणाम के रूप में कार्य प्रक्रिया की आपातकालीन समाप्ति का उल्लेख किया गया है, लेकिन अन्य अभिव्यक्तियों को बाहर नहीं किया गया है, जैसे सर्वर पर कोड निष्पादन का संगठन।

उल्लेखनीय है कि इसी तरह की भेद्यता 4 में ngx_http_mp2012_module मॉड्यूल में पहले ही तय कर दी गई थी। इसके अलावा, F5 ने NGINX प्लस उत्पाद में एक समान भेद्यता (CVE-2022-41743) की सूचना दी, जो ngx_http_hls_module मॉड्यूल को प्रभावित करती है, जो HLS (Apple HTTP लाइव स्ट्रीमिंग) प्रोटोकॉल के लिए समर्थन प्रदान करती है।

कमजोरियों को दूर करने के अलावा, nginx 1.23.2 में निम्नलिखित परिवर्तन प्रस्तावित हैं:

• "$proxy_protocol_tlv_*" वेरिएबल्स के लिए समर्थन जोड़ा गया, जिसमें TLV (टाइप-लेंथ-वैल्यू) फ़ील्ड के मान शामिल हैं जो टाइप-लेंथ-वैल्यू PROXY v2 प्रोटोकॉल में दिखाई देते हैं।
• टीएलएस सत्र टिकटों के लिए एन्क्रिप्शन कुंजियों का स्वचालित रोटेशन प्रदान किया गया, जिसका उपयोग ssl_session_cache निर्देश में साझा मेमोरी का उपयोग करते समय किया जाता है।
• गलत एसएसएल रिकॉर्ड प्रकारों से संबंधित त्रुटियों के लिए लॉगिंग स्तर को महत्वपूर्ण से सूचनात्मक स्तर तक कम कर दिया गया है।
• नए सत्र के लिए मेमोरी आवंटित करने में असमर्थता के बारे में संदेशों के लिए लॉगिंग स्तर को अलर्ट से चेतावनी में बदल दिया गया है और प्रति सेकंड एक प्रविष्टि आउटपुट करने तक सीमित है।
• विंडोज़ प्लेटफ़ॉर्म पर, ओपनएसएसएल 3.0 के साथ असेंबली स्थापित की गई है।
• लॉग में PROXY प्रोटोकॉल त्रुटियों का बेहतर प्रतिबिंब।
• उस समस्या को ठीक किया गया जहां OpenSSL या BoringSSL पर आधारित TLSv1.3 का उपयोग करते समय "ssl_session_timeout" निर्देश में निर्दिष्ट टाइमआउट काम नहीं करता था।

स्रोत: opennet.ru