{"id":116173,"date":"2024-05-30T00:20:28","date_gmt":"2024-05-29T22:20:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/novaya-versiya-nginx-1-27-0-c-ustraneniem-4-uyazvimostej-v-realizaczii-http-3"},"modified":"2024-05-30T00:20:28","modified_gmt":"2024-05-29T22:20:28","slug":"novaya-versiya-nginx-1-27-0-c-ustraneniem-4-uyazvimostej-v-realizaczii-http-3","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/novaya-versiya-nginx-1-27-0-c-ustraneniem-4-uyazvimostej-v-realizaczii-http-3","title":{"rendered":"\u00daj nginx 1.27.0 verzi\u00f3, amely 4 HTTP\/3 hib\u00e1t jav\u00edt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Bemutatkozott az nginx \u00faj f\u0151 \u00e1g\u00e1nak els\u0151 kiad\u00e1sa, a 1.27.0, amely keretein bel\u00fcl folytat\u00f3dik az \u00faj lehet\u0151s\u00e9gek fejleszt\u00e9se. Ezzel egyid\u0151ben elk\u00e9sz\u00fclt az nginx 1.26.1 kiad\u00e1sa, amely a p\u00e1rhuzamosan t\u00e1mogatott stabil \u00e1ghoz tartozik, amelybe csak a s\u00falyos hib\u00e1k \u00e9s sebezhet\u0151s\u00e9gek jav\u00edt\u00e1sai ker\u00fclnek. A k\u00f6vetkez\u0151 \u00e9vben a 1.27.x f\u0151 \u00e1gra alapozva alak\u00edtj\u00e1k ki a 1.28. stabil \u00e1gat. A projekt k\u00f3dja C nyelven \u00edr\u00f3dott \u00e9s BSD licenc alatt terjesztik. <\/p>\n
Az \u00faj verzi\u00f3kban n\u00e9gy sebezhet\u0151s\u00e9get orvosoltak, amelyek az ngx_http_v3 k\u00eds\u00e9rleti modulhoz kapcsol\u00f3dnak (alap\u00e9rtelmez\u00e9s szerint kikapcsolva), amely a HTTP\/3 t\u00e1mogat\u00e1s\u00e1t biztos\u00edtja, a QUIC protokollt haszn\u00e1lva a HTTP\/2 forgalmaz\u00e1s\u00e1hoz. A probl\u00e9m\u00e1k csak akkor jelentkeznek, ha az ngx_http_v3_module modult aktiv\u00e1lj\u00e1k, \u00e9s a 'quic' opci\u00f3t a 'listen' direkt\u00edv\u00e1n \u00e1ll\u00edtj\u00e1k be. Az Angie \u00e9s FreeNginx forkok sebezhet\u0151s\u00e9g\u00e9r\u0151l egyel\u0151re nincs inform\u00e1ci\u00f3. <\/p>\n
A CVE-2024-34161 sebezhet\u0151s\u00e9g a mem\u00f3ria tartalm\u00e1nak sziv\u00e1rg\u00e1s\u00e1t okozza a munkafolyamatban olyan rendszereken, ahol az MTU \u00e9rt\u00e9ke 4096 b\u00e1jt felett van. A mem\u00f3ria tartalm\u00e1nak sziv\u00e1rg\u00e1sa akkor l\u00e9p fel, amikor CRYPTO kereteket k\u00fcldenek a kapcsolat egyeztet\u00e9se sor\u00e1n, a v\u00e9gs\u0151 \u00fczenet kik\u00fcld\u00e9se ut\u00e1n. <\/p>\n
A CVE-2024-31079, CVE-2024-32760 \u00e9s CVE-2024-35200 sebezhet\u0151s\u00e9gek a mem\u00f3ria s\u00e9r\u00fcl\u00e9s\u00e9b\u0151l fakadnak, \u00e9s lehet\u0151v\u00e9 teszik a t\u00e1voli t\u00e1mad\u00f3 sz\u00e1m\u00e1ra, hogy \u00f6sszeomlasztja az nginx munkafolyamat\u00e1t egy speci\u00e1lisan megform\u00e1lt QUIC protokoll alap\u00fa munkamenet l\u00e9trehoz\u00e1s\u00e1val. A CVE-2024-31079 \u00e9s CVE-2024-32760 sebezhet\u0151s\u00e9gek eset\u00e9ben m\u00e1s t\u00e1mad\u00e1si k\u00f6vetkezm\u00e9nyek sem z\u00e1rhat\u00f3ak ki (lehets\u00e9ges k\u00f3dv\u00e9grehajt\u00e1s?). A r\u00e9szletek nem \u00e1llnak rendelkez\u00e9sre, de a k\u00f3djav\u00edt\u00e1sok alapj\u00e1n \u00fagy t\u0171nik, hogy a sebezhet\u0151s\u00e9gek a m\u00e1r felszabad\u00edtott mem\u00f3ria el\u00e9r\u00e9s\u00e9b\u0151l (use-after-free), a hib\u00e1s mem\u00f3riafoglal\u00e1sb\u00f3l, a null mutat\u00f3 derefer\u00e1l\u00e1s\u00e1b\u00f3l \u00e9s a buffer m\u00e9ret\u00e9nek megfelel\u0151 ellen\u0151rz\u00e9s hi\u00e1ny\u00e1b\u00f3l sz\u00e1rmaznak. <\/p>\n
A sebezhet\u0151s\u00e9gek kijav\u00edt\u00e1s\u00e1n k\u00edv\u00fcl az nginx 1.27.0-ban az al\u00e1bbi v\u00e1ltoztat\u00e1sok t\u00f6rt\u00e9ntek: <\/p>\n
\n
A 'proxy_limit_rate', 'fastcgi_limit_rate', 'scgi_limit_rate' \u00e9s 'uwsgi_limit_rate' direkt\u00edv\u00e1kban hozz\u00e1adt\u00e1k a v\u00e1ltoz\u00f3k megad\u00e1s\u00e1nak t\u00e1mogat\u00e1s\u00e1t.\n
Cs\u00f6kkentett\u00e9k a mem\u00f3riafogyaszt\u00e1st a hossz\u00fa \u00e9let\u0171 k\u00e9r\u00e9sek feldolgoz\u00e1sa sor\u00e1n az olyan konfigur\u00e1ci\u00f3kban, amelyekben a 'gzip', 'gunzip', 'ssi', 'sub_filter' vagy 'grpc_pass' direkt\u00edv\u00e1k haszn\u00e1latosak.\n
Kijav\u00edtott\u00e1k a GCC 14-tel kapcsolatos \u00f6sszeoml\u00e1si probl\u00e9m\u00e1kat a '--with-atomic' opci\u00f3 haszn\u00e1lata k\u00f6zben.\n
Jav\u00edtott\u00e1k a HTTP\/3 megval\u00f3s\u00edt\u00e1s\u00e1nak hib\u00e1it. <\/ul>\n
Tov\u00e1bb\u00e1 megeml\u00edthet\u0151 a FreeNginx 1.27.0 \u00faj f\u0151 \u00e1g\u00e1nak k\u00f6zz\u00e9t\u00e9tele, amely az Nginx forkja, \u00e9s amelyet Maximin Dunin, az Nginx egyik kulcsfontoss\u00e1g\u00fa fejleszt\u0151je fejleszt. A FreeNginx nem-profit projektk\u00e9nt pozicion\u00e1lja mag\u00e1t, amely az Nginx k\u00f3d alapj\u00e1nak fejleszt\u00e9s\u00e9t biztos\u00edtja v\u00e1llalati beavatkoz\u00e1s n\u00e9lk\u00fcl. Az \u00faj verzi\u00f3 jav\u00edtotta a hiba kezel\u00e9s\u00e9t a k\u00e9r\u00e9s t\u00f6rzs olvas\u00e1sa sor\u00e1n, optimaliz\u00e1lta a NetBSD 10.0 alatti ford\u00edt\u00e1st, \u00e9s jav\u00edtotta a PID-f\u00e1jlok \u00edr\u00e1s\u00e1t (a 'pid' direkt\u00edv\u00e1hoz hozz\u00e1adt\u00e1k az 'off' param\u00e9tert). \n Forr\u00e1s: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"