Kibocsátották az nginx 1.29.7 főágának verzióját, amely keretében a új funkciók fejlesztése folytatódik, valamint párhuzamosan kiadásra került az nginx 1.28.3 stabil ága, amelybe csak súlyos hibák és sebezhetőségek megszüntetésével kapcsolatos módosítások történnek. A frissítések során 6 sebezhetőséget szüntettek meg, amelyek közül három puffer túlcsorduláshoz vezet.
- CVE-2026-27654 — puffer túlcsordulás az ngx_http_dav_module modulban, amely WebDAV COPY és MOVE kérések feldolgozása során jelentkezik az alias direktíva location blokkjaiban. Ez a sebezhetőség lehetővé teszi fájlok elérési útjának módosítását az alapkönyvtáron kívülről. A problémát a Claude AI modell használatával azonosították.
- CVE-2026-27784, CVE-2026-32647 — puffer túlcsordulások az ngx_http_mp4_module modulban, amelyek formázott mp4 fájlok feldolgozása során lépnek fel. Nem zárható ki, hogy a sebezhetőség kihasználása nem korlátozódik a folyamat baleset szerű leállítására.
- CVE-2026-27651 — null pointer dereferálása a CRAM-MD5 vagy APOP hitelesítési módszerek helytelen használata során.
- CVE-2026-28753 — DNS PTR-rekordok manipulálásának lehetősége, amely lehetővé teszi a támadó adatainak behelyettesítését az auth_http kérésekbe és az XCLIENT parancsba egy SMTP kapcsolatban a háttérszerverhez.
- CVE-2026-28755 — OCSP ellenőrzés megkerülése a stream modulban.
A nem biztonsághoz kapcsolódó változások között az nginx 1.29.7 verzióban
- Hozzáadtuk a Multipath TCP (MPTCP) protokoll támogatását, amely lehetővé teszi csomagok egyidejű kézbesítését több útvonalon, különböző hálózati interfészeken keresztül. Az aktiváláshoz a listen direktívához egy multipath paraméter került hozzáadásra.
- A upstream blokkban használt keepalive direktívához hozzáadott a local paraméter. Ennek a paraméternek a megadásakor, ahelyett, hogy egy közös kapcsolatot osztanának meg a különböző location és server blokkokban említett upstream szerverhez, minden blokkhoz külön kapcsolat biztosított az upstream-hez.
- Az upstream blokkban alapértelmezetten aktiválták a keepalive direktívát.
- Proxy üzemmódban alapértelmezettként a HTTP/1.1 protokoll verziót állította be, bekapcsolva a keep-alive módot (az ngx_http_proxy_module modulban alapértelmezés szerint aktiválták a keep-alive támogatást, és az irányelv proxy_http_version frissített értéke „1.1”, ahelyett, hogy alapértelmezés szerint a Connection fejlécet küldené. Az előző viselkedés visszaállításához, amely lehetővé teszi a csak HTTP/1.0-t támogató háttérszerverek elérését, az alábbi beállításokat kell alkalmazni: proxy_http_version 1.0; proxy_set_header Connection "Close";
Forrás: opennet.ru
