A tọhapụrụ alaka isi nke nginx 1.23.2, n'ime nke mmepe nke atụmatụ ọhụrụ na-aga n'ihu, yana ntọhapụ nke alaka ụlọ ọrụ kwụsiri ike nke nginx 1.22.1, nke na-agụnye naanị mgbanwe ndị metụtara iwepụ mmejọ dị njọ na adịghị ike.
Ụdị ọhụrụ ahụ na-ewepụ adịghị ike abụọ (CVE-2022-41741, CVE-2022-41742) na ngx_http_mp4_module modul, nke a na-eji ahazi nkwanye site na faịlụ na usoro H.264/AAC. Ọdịmma ndị ahụ nwere ike iduga nrụrụ ebe nchekwa ma ọ bụ mwepu ebe nchekwa mgbe ị na-ahazi faịlụ mp4 emebere nke ọma. A na-akpọ njedebe mberede nke usoro ọrụ dịka ihe si na ya pụta, ma a naghị ewepụ ihe ngosi ndị ọzọ, dị ka nhazi nke koodu mkpochapụ na ihe nkesa.
Ọ bụ ihe kwesịrị ịrịba ama na edobela ụdị adịghị ike na modul ngx_http_mp4_module na 2012. Na mgbakwunye, F5 kọrọ ụdị adịghị ike (CVE-2022-41743) na ngwaahịa NGINX Plus, na-emetụta modul ngx_http_hls_module, nke na-enye nkwado maka HLS (Apple HTTP Live Streaming) protocol.
Na mgbakwunye na iwepụ adịghị ike, a na-atụ aro mgbanwe ndị a na nginx 1.23.2:
- Nkwado agbakwunyere maka mgbanwe ndị "$proxy_protocol_tlv_*", nke nwere ụkpụrụ nke mpaghara TLV (Ụdị-Ọnọdụ-Uru) nke pụtara na protocol Type-Length-Value PROXY v2.
- Enyere ntụgharị igodo nzuzo akpaka maka tiketi nnọkọ TLS, ejiri ya mgbe ị na-eji ebe nchekwa ekekọrịtara na ntuziaka ssl_session_cache.
- E wedatala ọkwa ndekọ ndekọ maka njehie metụtara ụdị ndekọ SSL ezighi ezi site na oke mkpa ruo ọkwa ozi.
- Agbanwela ọkwa ntinye maka ozi gbasara enweghị ike ikenye ebe nchekwa maka nnọkọ ọhụrụ site na njikere iji dọọ aka ná ntị ma na-ejedebe na ịmepụta otu ntinye kwa nkeji.
- N'elu ikpo okwu Windows, e hiwela mgbakọ nwere OpenSSL 3.0.
- Ngosipụta emelitere nke njehie protocol PROXY na ndekọ.
- Edoziri esemokwu ebe oge ngwụcha akọwapụtara na ntuziaka "ssl_session_timeout" anaghị arụ ọrụ mgbe ị na-eji TLSv1.3 dabere na OpenSSL ma ọ bụ BoringSSL.
isi: opennet.ru