Objavljeno je izdanje glavne grane nginx 1.29.7, u okviru kojeg se nastavlja razvoj novih mogućnosti, kao i objava paralelno podržavane stabilne grane nginx 1.28.3, u koju se unose samo promjene vezane uz otklanjanje ozbiljnih grešaka i ranjivosti. U ažuriranjima je otklonjeno 6 ranjivosti, od kojih tri dovode do prelivanja bafer. Četiri ranjivosti su ocijenjene kao visoko opasne (8.8 ili 8.5 od 10).
- CVE-2026-27654 — prelivanje bafera u modulu ngx_http_dav_module, koje se javlja prilikom obrade WebDAV zahtjeva COPY i MOVE kada se koristi u blokovima „location“ upute „alias“. Ova ranjivost omogućava promjenu putanja do datoteka za pozivanje izvan osnovnog direktorija. Problem je otkriven korištenjem AI modela Claude.
- CVE-2026-27784, CVE-2026-32647 — prelivanje bafera u modulu ngx_http_mp4_module, koje se javlja prilikom obrade pažljivo oblikovanih mp4 datoteka. Ne isključuje se mogućnost da iskorištavanje ranjivosti nije ograničeno na neočekivano završavanje radnog procesa.
- CVE-2026-27651 — dereferenciranje nul pokazivača prilikom nepravilnog korištenja metoda autentifikacije CRAM-MD5 ili APOP.
- CVE-2026-28753 — mogućnost manipulacije PTR zapisima u DNS-u za umetanje podataka napadača u auth_http zahtjeve i XCLIENT komandu u SMTP vezi prema backendu.
- CVE-2026-28755 — zaobilaženje rezultata OCSP provjere certifikata u modulu stream.
Među ne-sigurnosnim promjenama u nginx 1.29.7
- Dodana je podrška za Multipath TCP (MPTCP) protokol, koji omogućava dostavu paketa istovremeno preko više ruta putem različitih mrežnih sučelja. Za uključivanje, dodan je parametar „multipath“ u uputu „listen“.
- U uputu „keepalive“, korištenu u bloku „upstream“, dodan je parametar „local“. Kada se navede ovaj parametar, umjesto zajedničkog korištenja jednog spoja prema zajedničkom upstream serveru, koji se spominje u različitim blokovima location i server, za svaki blok održava se zaseban spoj prema upstream.
- U bloku „upstream“ je po defaultu aktivirana uputa „keepalive“.
- Kada se koristi u proxy modu, zadana verzija protokola je HTTP/1.1 s aktiviranim keep-alive načinom rada (u modulu ngx_http_proxy_module podrška za keep-alive je zadana). Ako želite prebaciti na staro ponašanje koje omogućava povezivanje s backendovima koji podržavaju samo HTTP/1.0, treba postaviti sljedeće: proxy_http_version 1.0; proxy_set_header Connection 'Close';
Izvor: opennet.ru
