Megjelent az nginx 1.23.2 fő ága, amely keretében tovább folytatódik az új lehetőségek fejlesztése, valamint párhuzamosan megjelenik az nginx 1.22.1 stabil ága, amelybe csak komoly hibák és sebezhetőségek javításai kerülnek be.
Az új verziókban két sebezhetőséget (CVE-2022-41741, CVE-2022-41742) javítottak az ngx_http_mp4_module modulban, amelyet H.264/AAC fájlok streamingjéhez használnak. A sebezhetőségek memória sérüléshez vagy memória tartalom szivárgáshoz vezethetnek, amikor egy speciálisan megformázott mp4 fájl kerül feldolgozásra. A következmények között említik a munkafolyamat váratlan leállását, de más megnyilvánulások, például kód végrehajtásának lehetősége is előfordulhat. szerveren.
Érdemes megjegyezni, hogy hasonló sebezhetőséget már javítottak az ngx_http_mp4_module modulban 2012-ben. Továbbá, az F5 cég hasonló sebezhetőségről (CVE-2022-41743) számolt be az NGINX Plus termékben, amely érinti az ngx_http_hls_module modult, amely támogatja az HLS (Apple HTTP Live Streaming) protokollt.
Az nginx 1.23.2-ben a sebezhetőségek javítása mellett a következő változtatások is elérhetők:
- Hozzáadva a "$proxy_protocol_tlv_*" változók támogatása, amelyekben a TLV (Type-Length-Value) mezők értékei tárolódnak a Type-Length-Value PROXY v2 protokoll keretében.
- Automatikus titkosítási kulcsforgás biztosítva van a TLS session ticketek számára, amely a ssl_session_cache direktívában megosztott memória használata során alkalmazandó.
- A logolási szint a hibák esetén, amelyek helytelen rekordtípussal kapcsolatosak, SSL, csökkent a kritikus szintről információs szintre.
- A memóriakiosztás hiányáról szóló üzenetek logolási szintje megváltozott az alert-ről warn-ra és egy másodpercenként csak egy bejegyzésre van korlátozva.
- Windows platformon OpenSSL 3.0-val készült a fordítás.
- A PROXY protokoll hibákat logoló rendszer működésbe lépett.
- Megoldották azt a problémát, amely miatt TLSv1.3 használatakor OpenSSL vagy BoringSSL alapokon a "ssl_session_timeout" direktívában megadott időtúllépés nem működött.
Forrás: opennet.ru
