Nginx 1.25.4 दो HTTP/3 कमजोरियों को ठीक करता है

nginx 1.25.4 की मुख्य शाखा जारी की गई है, जिसके अंतर्गत नई सुविधाओं का विकास जारी है। समानांतर-रखरखाव वाली स्थिर शाखा 1.24.x में केवल गंभीर बग और कमजोरियों के उन्मूलन से संबंधित परिवर्तन शामिल हैं। भविष्य में मुख्य शाखा 1.25.x के आधार पर एक स्थिर शाखा 1.26 बनेगी। प्रोजेक्ट कोड सी में लिखा गया है और बीएसडी लाइसेंस के तहत वितरित किया गया है।

नया संस्करण प्रायोगिक http_v3_module (डिफ़ॉल्ट रूप से अक्षम) में दो कमज़ोरियों को ठीक करता है, जो HTTP/3 के लिए ट्रांसपोर्ट के रूप में QUIC प्रोटोकॉल का उपयोग करके HTTP/2 प्रोटोकॉल के लिए समर्थन प्रदान करता है। पहली कमज़ोरी (CVE-2024-24989) NULL पॉइंटर डीरेफ़रेंस के कारण होती है, और दूसरी (CVE-2024-24990) फ़्री के बाद उपयोग के कारण होती है (CVE-2024-24990)। चेंजलॉग बताता है कि दोनों कमज़ोरियाँ केवल विशेष रूप से तैयार किए गए QUIC सत्रों को संभालते समय वर्कर प्रक्रिया के क्रैश का कारण बन सकती हैं, लेकिन जाहिर तौर पर दूसरी कमज़ोरी का अधिक गंभीर परिणामों के लिए विश्लेषण नहीं किया गया है।

कमजोरियों को ठीक करने के अलावा, नए संस्करण में HTTP/3 कार्यान्वयन में सामान्य सुधार और सुधार, साथ ही सॉकेट लीक, सॉकेट त्रुटियों और AIO का उपयोग करते समय होने वाले क्रैश के लिए भी सुधार शामिल हैं। पुराने वर्कर प्रोसेस के सुचारू रूप से बंद होने के दौरान अधूरे AIO ऑपरेशनों के साथ कनेक्शन को समय से पहले बंद करने की समस्या का समाधान कर दिया गया है। error_page निर्देश का उपयोग करके 415 त्रुटियों को रीडायरेक्ट करते समय होने वाले क्रैश को ठीक कर दिया गया है। एसएसएल-प्रॉक्सीइंग और इमेज_फ़िल्टर निर्देश।

इसके अलावा, कुछ दिन पहले, njs 0.8.4, एक जावास्क्रिप्ट इंटरप्रेटर, वेब सर्वर nginx. njs इंटरप्रेटर ECMAScript मानकों को लागू करता है और कॉन्फ़िगरेशन स्क्रिप्ट का उपयोग करके nginx की अनुरोध प्रसंस्करण क्षमताओं को बढ़ाने की अनुमति देता है। कॉन्फ़िगरेशन फ़ाइल में स्क्रिप्ट का उपयोग उन्नत अनुरोध प्रसंस्करण तर्क को परिभाषित करने, कॉन्फ़िगरेशन उत्पन्न करने, गतिशील रूप से प्रतिक्रियाएँ उत्पन्न करने, अनुरोध/प्रतिक्रियाओं को संशोधित करने या वेब अनुप्रयोगों में समस्याओं को हल करने के लिए तुरंत स्टब्स बनाने के लिए किया जा सकता है। नए संस्करण में केवल बग फिक्स शामिल हैं।

स्रोत: opennet.ru