Egy év fejlesztés után az Nginx projekt bejelentette az új 1.30.0 stabil ág megjelenését. A stabil verzió előkészítése során hat sebezhetőséget javítottak ki, amelyek közül négy a médiafájlok és az autentikációs protokollok feldolgozásához kapcsolódik. A kulcsfontosságú változás a HTTP/3 és a QUIC támogatása lett, amely most már érett a termelési környezethez.
Javított sebezhetőségek:
- CVE-2026-27654: A COPY vagy MOVE kérések feldolgozása során a helyszín alias irányelvvel való használata során fellépő puffertúlcsordulás lehetővé teheti a támadó számára, hogy kilépjen a weboldal gyökérkönyvtárának határain kívül.
- CVE-2026-27784: A különlegesen kialakított MP4 fájl összeomlást okozhat a 32 bites platformokon futó munkafolyamatban.
- CVE-2026-27651: Szegmentálási hiba a munkafolyamatban, ha a CRAM-MD5 vagy APOP autentikációs módszereket használják az újra próbálkozás engedélyezésével.
- CVE-2026-28753: PTR DNS rekordok használata az auth_http kérésekbe és az XCLIENT parancsba a backend SMTP kapcsolatában történő adatinjektálásra.
- CVE-2026-28755: Sikeres befejezés SSL-kézfogás, annak ellenére, hogy a kliens tanúsítványt elutasítják az OCSP ellenőrzés során a stream modulban.
Egyéb jelentős újítások:
- HTTP Early Hints (103): A szerver előzetes fejléceket küldhet, anélkül hogy megvárná a backend válasz teljes generálását, ezzel felgyorsítva az oldalak betöltését.
- Encrypted ClientHello (ECH): A TLS adatvédelmi funkció, amely elrejti a kért weboldal nevét a hálózati megfigyelők elől.
- Sticky Sessions: A sticky utasítás a felfelő blokkban biztosítja a kliensszakciók „hozzákapcsolását” egy adott szerverhez backend-hez.
- Multipath TCP (MPTCP): A multipath paraméter támogatása a listen utasításban az alkalmazás szintű megbízhatóság és áteresztőképesség növelésére.
- Keep-Alive: A proxy_http_version alapértelmezett értéke 1.1-re változott, és a Connection fejlécet többé nem küldik a proxy-nak,szerverrelami javítja a kapcsolatok újrafelhasználását.
- OpenSSL 4.0: Biztosítva van a közelgő főverzióval való kompatibilitás a kriptográfiai könyvtárban.
- geo-modul: Az include utasítás a geo blokkban most már támogatja a wildcard karaktereket.
Forrás: linux.org.ru
