Megjelent az nginx 1.31.6 főágának kiadása, amelyben tovább folytatódik az új lehetőségek fejlesztése. A párhuzamosan támogatott stabil ágban, 1.30.x, csak a súlyos hibák és sérülékenységek kijavításához szükséges módosítások történnek. A jövőben az 1.31.x főág alapján egy stabil ág, az 1.32, fog kialakulni. A projekt kódja C nyelven íródott és BSD licenc alatt terjed.
Az új kiadásban kijavították a ngx_http_v3_module modulban található (CVE-2026-90439) sérülékenységet, amely puffertúlcsorduláshoz vezetett a TLS-kapcsolat tárgyalási szakaszában a paraméterek manipulálása során. Azt állítják, hogy a támadó nem tudja irányítani azokat az adatokat, amelyeket a pufferen kívüli területre írnak, és a sérülékenység korlátozódik a szolgáltatásmegtagadásra vagy az adatok sérülésére. A probléma az nginx 1.29.2 kiadása óta jelentkezik olyan konfigurációkban, amelyek OpenSSL 3.5.0-val vagy korábbi verziókkal lettek összeállítva.
A többi változás között említést nyert a hibajavítás és a QUIC szállítási protokoll minden paraméterének figyelmen kívül hagyására való áttérés, amely a TLS-kapcsolat telepítése során érkezett.
Forrás: opennet.ru
