Bemutatkozott az nginx új fő ágának első kiadása, a 1.27.0, amely keretein belül folytatódik az új lehetőségek fejlesztése. Ezzel egyidőben elkészült az nginx 1.26.1 kiadása, amely a párhuzamosan támogatott stabil ághoz tartozik, amelybe csak a súlyos hibák és sebezhetőségek javításai kerülnek. A következő évben a 1.27.x fő ágra alapozva alakítják ki a 1.28. stabil ágat. A projekt kódja C nyelven íródott és BSD licenc alatt terjesztik.
Az új kiadásokban négy sebezhetőséget javítottak, amelyek az ngx_http_v3 kísérleti modulhoz kapcsolódnak (alapértelmezés szerint le van tiltva), amely a HTTP/3 protokoll támogatását biztosítja, a QUIC protokollt használva a HTTP/2 számára. A problémák csak a ngx_http_v3_module modul aktiválása és a 'quic' opció beállítása esetén jelentkeznek a 'listen' direktívában. Az Angie és a FreeNginx forkok sebezhetőségével kapcsolatban eddig még nem érkezett hivatalos információ.
A CVE-2024-34161 sebezhetőség a memória tartalmának szivárgását okozza a munkafolyamatban olyan rendszereken, ahol az MTU értéke 4096 bájt felett van. A memória tartalmának szivárgása akkor lép fel, amikor CRYPTO kereteket küldenek a kapcsolat egyeztetése során, a végső üzenet kiküldése után.
A CVE-2024-31079, CVE-2024-32760 és CVE-2024-35200 sebezhetőségek a memória sérüléséből fakadnak, és lehetővé teszik a távoli támadó számára, hogy összeomlasztja az nginx munkafolyamatát egy speciálisan megformált QUIC protokoll alapú munkamenet létrehozásával. A CVE-2024-31079 és CVE-2024-32760 sebezhetőségek esetében más támadási következmények sem zárhatóak ki (lehetséges kódvégrehajtás?). A részletek nem állnak rendelkezésre, de a kódjavítások alapján úgy tűnik, hogy a sebezhetőségek a már felszabadított memória eléréséből (use-after-free), a hibás memóriafoglalásból, a null mutató dereferálásából és a buffer méretének megfelelő ellenőrzés hiányából származnak.
A sebezhetőségek kijavításán kívül az nginx 1.27.0-ban az alábbi változtatások történtek:
- A 'proxy_limit_rate', 'fastcgi_limit_rate', 'scgi_limit_rate' és 'uwsgi_limit_rate' direktívákban hozzáadva a változók megadásának támogatása.
- Csökkent a memóriafogyasztás a hosszú élettartamú kérések kezelése során olyan konfigurációkban, ahol a 'gzip', 'gunzip', 'ssi', 'sub_filter' vagy 'grpc_pass' direktívákat használják.
- A problémák megoldódnak a GCC 14-ben a „—with-atomic” opció használatakor.
- Javították a HTTP/3 megvalósításának hibáit.
Ezen kívül érdemes megemlíteni a FreeNginx 1.27.0 új fő ágának közzétételét, amely a Nginx forkja, és Maxim Dunin, a Nginx egyik kulcsfontosságú fejlesztője által fejlesztett. A FreeNginx egy non-profit projekteként van pozicionálva, amely a Nginx kódalap fejlesztését biztosítja vállalati beavatkozás nélkül. Az új verzióban javították a hibakezelést a kérés törzs olvasása közben, beállították a NetBSD 10.0-ra történő fordítást, és javították a PID-fájlok írását (a „pid” direktívához hozzáadták az „off” paramétert).
Forrás: opennet.ru
