Nakon godinu dana razvoja, projekt Nginx najavio je izlazak nove stabilne grane, 1.30.0. Tijekom pripreme za ovu stabilnu verziju ispravljeno je šest ranjivosti, od kojih su se četiri odnosile na modul za obradu medijskih datoteka i protokole za autentifikaciju. Ključna promjena bila je podrška za HTTP/3 i QUIC, koja se sada smatra spremnom za produkciju.
Ispravljene ranjivosti:
- CVE-2026-27654: Prelijevanje međuspremnika prilikom obrade zahtjeva COPY ili MOVE na lokaciji s direktivom alias moglo bi omogućiti napadaču da pobjegne iz korijenskog direktorija web-mjesta.
- CVE-2026-27784: Posebno izrađena MP4 datoteka može uzrokovati rušenje sustava na 32-bitnim platformama.
- CVE-2026-27651: Došlo je do pogreške segmentacije u tijeku rada pri korištenju metoda provjere autentičnosti CRAM-MD5 ili APOP s omogućenim ponovnim pokušajem provjere autentičnosti.
- CVE-2026-28753: Korištenje PTR DNS zapisa za ubrizgavanje podataka u auth_http zahtjeve i XCLIENT naredbu u backend SMTP vezi.
- CVE-2026-28755: Uspješan završetak SSL-rukovanja, unatoč tome što je OCSP odbio klijentski certifikat provjerom u stream modulu.
Druge značajne inovacije:
- Prvi HTTP savjeti (103): Poslužitelj može slati privremene zaglavlja bez čekanja da backend u potpunosti generira odgovor, što ubrzava učitavanje stranice.
- Šifrirani pozdrav klijenta (ECH): TLS značajka privatnosti koja skriva naziv tražene web-lokacije od promatrača mreže.
- Ljepljive sesije: Sticky direktiva u uzvodnom bloku osigurava da su klijentske sesije "povezane" s određenim poslužitelja pozadinski sustav.
- Višestruki TCP (MPTCP): Podrška za parametar multipath u direktivi listen radi poboljšanja tolerancije grešaka i propusnosti na transportnom sloju.
- Održavanje na životu: Zadana vrijednost proxy_http_version promijenjena je na 1.1 i proxy više ne šalje zaglavlje Connection.poslužitelja, što poboljšava ponovnu upotrebu veze.
- OpenSSL 4.0: Osigurana je kompatibilnost s nadolazećom glavnom verzijom kriptografske biblioteke.
- geo-modul: Direktiva include unutar geo bloka sada podržava zamjenske znakove.
Izvor: linux.org.ru
