Bemutatásra került az új fő ág, az nginx 1.21.0 első verziója, amelyben folytatódik az új lehetőségek fejlesztése. Egyidejűleg elkészült a hibajavító kiadás a párhuzamosan támogatott stabil ágból, az 1.20.1-ből, ahol csak a súlyos hibák és sebezhetőségek kijavítására vonatkozó változtatások történnek. A következő évben az 1.21.x fő ágból stabil ág, az 1.22 fog kialakulni.
Az új verziókban kijavították a DNS-ben a hostnevek feloldására vonatkozó kód egyik sebezhetőségét (CVE-2021-23017), amely az alkalmazás összeomlását vagy potenciálisan a támadó kódjának végrehajtását okozhatja. A probléma a DNS-szerver bizonyos válaszainak feldolgozásánál jelentkezik, amelyek egynyolcbájtos puffertúlcsorduláshoz vezetnek. A sebezhetőség csak akkor jelentkezik, ha a DNS-gyorsítónál a „resolver” direktívával van engedélyezve. A támadás elvégzéséhez a támadónak képesnek kell lennie hamis UDP-csomagok küldésére a DNS-szerverről, vagy ellenőrzés alatt kell tartania a DNS-szervert. A sebezhetőség az nginx 0.6.18 kiadástól kezdve áll fenn. A probléma régebbi verziókban patch használatával orvosolható.
Az nginx 1.21.0-ben végrehajtott nem biztonsági vonatkozású változások:
- A „proxy_ssl_certificate”, „proxy_ssl_certificate_key”, „grpc_ssl_certificate”, „grpc_ssl_certificate_key”, „uwsgi_ssl_certificate” és „uwsgi_ssl_certificate_key” direktívákban hozzáadva lett a változók támogatása.
- A levelező proxy-modulhoz hozzáadták a pipelining támogatást, amely lehetővé teszi több POP3 vagy IMAP kérés átvitelét egy összeköttetésben, és bevezették az új „max_errors” direktívát, amely meghatározza a protokoll hibák maximális számát, amely után a kapcsolat zárva lesz.
- A stream modulhoz hozzáadva a "fastopen" paraméter, amely engedélyezi a "TCP Fast Open" módot a hallgató socketek számára.
- Megoldották a speciális karakterek escaping problémáját automatikus átirányításkor, ha a levél végére perjelet adnak.
- Megoldották a klienssel való kapcsolatok lezárásának problémáját SMTP pipelining használata esetén.
Forrás: opennet.ru
