Cabang utama nginx 1.31.7 telah dirilis, melanjutkan pengembangan fitur-fitur baru. Cabang stabil paralel, nginx 1.30.6, juga dirilis, hanya berisi perubahan yang terkait dengan perbaikan bug dan kerentanan serius. Pembaruan ini mengatasi lima kerentanan:
- CVE-2026-15176 - Terjadi buffer overflow saat menggunakan
Direktif "alias" dalam konfigurasi yang mengubah URI permintaan melalui sebuah direktif.
“menulis ulang” dengan pengalihan selanjutnya ke file tersebut. - CVE-2026-93479 - Kerentanan buffer overflow terjadi saat mengeksekusi ekspresi string dengan variabel dan проявляется saat menghitung jalur ke direktori root dan saat mencatat permintaan di modul http dan stream.
- CVE-2026-95101 — melewati batasan "client_max_body_size" dan mengganti data pihak ketiga ke dalam permintaan yang diproksikan dengan mengirimkan frame yang salah format dalam HTTP/3, yang sebagian isinya dapat diproses sebagai isi permintaan.
- CVE-2026-97629 - Pemalsuan sesi TLS karena salah satu kunci sesi tidak diinisialisasi selama rotasi.
- CVE-2026-97205 - Kerentanan use-after-free ada ketika menggunakan perintah "include virtual" di halaman SSI bersamaan dengan I/O asinkron (AIO).
Perubahan yang tidak terkait dengan kerentanan pada nginx 1.31.7:
- Dukungan untuk basis data dalam format MaxMind (MMDB) telah ditambahkan ke modul ngx_http_geoip_module dan ngx_stream_geoip_module.
- Mengimplementasikan kemampuan untuk memeriksa berdasarkan alamat IP. Sertifikat SSL, digunakan di bagian backend.
- Menerapkan kemampuan untuk mengkonfigurasi ulang dan memperbarui file yang dapat dieksekusi saat menggunakan arahan quic_bpf di pengaturan.
- Modul ngx_http_v2_module mengimplementasikan skema prioritas yang sesuai dengan RFC 9218.
Njs 1.0.2, sebuah modul untuk mengintegrasikan interpreter JavaScript ke dalam server HTTP Nginx, kini tersedia. Njs memungkinkan penggunaan skrip JavaScript dalam file konfigurasi untuk memperluas kemampuan Nginx. Skrip dapat digunakan untuk mendefinisikan logika pemrosesan permintaan tingkat lanjut, menghasilkan konfigurasi, menghasilkan respons secara dinamis, memodifikasi permintaan/respons, atau dengan cepat membuat stub untuk menyelesaikan masalah dalam aplikasi web. Kode proyek ditulis dalam bahasa C dan didistribusikan di bawah lisensi BSD.
NJS 1.0.2 memperbaiki kerentanan berikut: kehabisan memori saat mengurai data XML yang salah format (CVE-2026-101025) dan pelanggaran validasi dokumen XML yang ditandatangani karena manipulasi atribut XML (CVE-2026-101019). Metode XMLNode.getAttributeNS() dan XMLNode.getChildNS() telah ditambahkan. Konsumsi memori selama kompilasi di mesin NJS telah dikurangi.
Sumber: opennet.ru
