Apre yon ane devlopman, pwojè Nginx la te anonse lansman yon nouvo branch ki estab, 1.30.0. Yo te korije sis vilnerabilite pandan preparasyon pou vèsyon ki estab sa a, kat ladan yo te gen rapò ak modil pwosesis fichye medya a ak pwotokòl otantifikasyon yo. Yon chanjman enpòtan se te sipò pou HTTP/3 ak QUIC, ki kounye a konsidere kòm pare pou pwodiksyon.
Vulnerabilite fiks:
- CVE-2026-27654: Yon debòdman memwa tanpon (buffer overflow) lè w ap trete demann COPY oswa MOVE nan yon kote ki gen yon direktiv alyas te kapab pèmèt yon atakè chape anba anyè rasin sit la.
- CVE-2026-27784: Yon fichye MP4 ki fèt espesyalman ka lakòz yon aksidan sou platfòm 32-bit yo.
- CVE-2026-27651: Yon fot segmentasyon te rive nan yon workflow lè yo t ap itilize metòd otantifikasyon CRAM-MD5 oswa APOP ak re-esè otantifikasyon aktive.
- CVE-2026-28753: Itilizasyon anrejistreman DNS PTR pou enjekte done nan demann auth_http ak kòmand XCLIENT nan koneksyon SMTP backend lan.
- CVE-2026-28755: Fini siksè Ssl-lanmen, malgre OCSP te rejte sètifika kliyan an pandan verifikasyon nan modil difizyon an.
Lòt inovasyon enpòtan:
- Bonè Konsèy HTTP (103): Sèvè a ka voye header pwovizwa san li pa tann backend la jenere repons lan nèt, sa ki akselere chajman paj la.
- Kliyan Bonjou Chifre (ECH): Yon fonksyonalite konfidansyalite TLS ki kache non sit entènèt la pou moun ki obsève rezo a.
- Sesyon kolan: Direktiv kolan an nan blòk amont lan asire ke sesyon kliyan yo "lye" ak yon espesifik sèvè dèyè.
- TCP miltip-chemen (MPTCP): Sipò pou paramèt multipath nan direktiv listen lan pou amelyore tolerans fay ak debi nan kouch transpò a.
- Kenbe-Vivan: Yo chanje valè proxy_http_version pa defo a pou l vin 1.1 epi proxy a pa voye header Connection an ankò.sèvè, ki amelyore reyitilizasyon koneksyon.
- OpenSSL 4.0: Yo asire konpatibilite ak pwochen vèsyon prensipal bibliyotèk kriptografik la.
- modil jeyo: Direktiv enklizyon ki andedan blòk geo a kounye a sipòte karaktè joker.
Sous: linux.org.ru
