Kibővült az nginx 1.27.4 főág, amelyen folytatódik az új lehetőségek fejlesztése, valamint párhuzamosan kiadásra került az nginx 1.26.3 stabil ága, amelybe csak a súlyos hibák és sebezhetőségek javítása érdekében történnek módosítások. A frissítések tartalmazzák a (CVE-2025-23419) sebezhetőség kijavítását, amely lehetővé tette a TLS-ügyfél tanúsítványok ellenőrzésének megkerülését.
A sebezhetőség a virtuális hostok feldolgozása során a megfelelő ellenőrzések hiányából fakad, amelyek egy IP-címhez és portszámhoz kapcsolódnak, és amelyeket HTTPS-en a TLS SNI kiterjesztésével megadott domain név alapján választanak ki. Ilyen konfigurációk esetén a támadó újra felhasználhatta a TLS munkamenetet egy másik virtuális host kontextusában az ügyfél TLS tanúsítványos autentikáció megkerülése érdekében. A probléma azokban a konfigurációkban jelentkezik, amelyek támogatják a TLS munkamenetek újraélesztését a 'TLS session ticket' segítségével vagy felhasználják a TLS munkamenetek cache-ét az beállítások során. a szerver az alapértelmezett beállítás során, amely az ügyfél TLS tanúsítványokkal való autentikációt használja. A sebezhetőség az nginx 1.11.4 kiadás óta jelen van az OpenSSL-lal történő fordítás és a TLSv1.3 protokoll engedélyezésével.
Nem biztonsággal kapcsolatos módosítások:
- Hozzáadva a TLS erőforrás-felhasználásának csökkentésének és a CPU terhelésének mérséklésének lehetőségei, a sok server és location blokkot tartalmazó konfigurációkhoz. A hozzáadott módosítások lehetővé teszik, hogy a konfigurációs blokkhoz külön SSL kontekszus (SSL_CTX az OpenSSL-ben) létrehozása helyett a már létező SSL kontekszust használjuk a szülő blokk felől.
- Megoldották a konfigurációs fájlok hosszú betöltési idejét, amely a zökkenőmentes újraelemzésből származott az azonos kulcsok és hitelesítő központok listái esetében. TLS-tanúsítványokFelgyorsult a konfiguráció újraindítása a meg nem változott TLS-objektumok, például tanúsítványok, kulcsok és CRL újrahasználatával. A konfiguráció frissítésekor az objektumok öröklésének letiltására bevezetésre került az 'ssl_object_cache_inheritable' direktíva.
- Hozzáadva a tanúsítványok és kulcsok gyorsítótára, amelyeket direktívákban használt változók segítségével töltenek be (például «ssl_certificate /etc/ssl/$ssl_server_name.crt»). A gyorsítótár kezelésére hozzáadva a «ssl_certificate_cache», «proxy_ssl_certificate_cache», «grpc_ssl_certificate_cache» és «uwsgi_ssl_certificate_cache» direktívák. Az említett direktívák segítségével beállítható a gyorsítótár maximális mérete, a bejegyzések lejárati ideje és az elavult bejegyzések törlésének ideje. Például: «ssl_certificate_cache max=1000 inactive=20s valid=1m;».
- Hozzáadva a «keepalive_min_timeout» direktíva, amely meghatározza azt az időt, amely alatt a nginx nem zárja le a keep-alive kapcsolatot az ügyféllel.
- Megoldották a 'gzip filter failed to use preallocated memory' figyelmeztetés megjelenítését zlib-ng könyvtárral való fordításkor.
- Megoldották a libatomic könyvtár fordítási problémáját, a '—with-libatomic=DIR' fordítási opció használatakor.
- Kijavították azt a hibát, amely megakadályozta a QUIC protokollon keresztüli kapcsolat létrehozását 0-RTT használatakor.
- Biztosították a QUIC verziók egyeztetési kéréseinek figyelmen kívül hagyását, amelyek az ügyfelektől érkeznek.
- Megoldották a Solaris 10-ben a ngx_http_v3_module modullal kapcsolatos fordítási problémákat.
- Javították a HTTP/3 megvalósításának hibáit.
Forrás: opennet.ru
