Izdanje nginx 1.31.6 s otklanjanjem prekomjernog punjenja u HTTP/3 implementaciji

Objavljen je izdanak glavne grane nginx 1.31.6, u kojem se nastavlja razvoj novih mogućnosti. U paralelno održavanoj stabilnoj grani 1.30.x unose se samo promjene povezane s ispravljanjem ozbiljnih grešaka i ranjivosti. U budućnosti će se na osnovi glavne grane 1.31.x formirati stabilna grana 1.32. Kod projekta napisan je na jeziku C i distribuira se pod BSD licencom.

U novom izdanju ispravljena je ranjivost (CVE-2026-90439) u modulu ngx_http_v3_module, koja dovodi do prepunjenja bafer kada se manipulira parametrima tijekom pregovaranja TLS veze. Navodi se da napadač ne može kontrolirati podatke koji se zapisuju izvan bafera, a ranjivost je ograničena na usluge koje su nedostupne ili oštećene podatke. Problem se pojavljuje od izdanja nginx 1.29.2 u konfiguracijama sastavljenim s OpenSSL 3.5.0 i ranijim izdanjima.

Među ostalim izmjenama spominje se ispravak grešaka i prelazak na ignoriranje svih parametara transportnog protokola QUIC, primljenih tijekom uspostave TLS veze.

Izvor: opennet.ru