Aðalútgáfan af nginx 1.31.7 hefur verið gefin út, sem heldur áfram þróun nýrra eiginleika. Stöðuga útgáfan af samsíða útgáfu, nginx 1.30.6, er einnig að koma út og inniheldur aðeins breytingar sem tengjast lagfæringum á alvarlegum villum og veikleikum. Þessar uppfærslur fjalla um fimm veikleika:
- CVE-2026-15176 - Yfirflæði biðminnis á sér stað þegar notað er
„alias“-fyrirmæli í stillingum sem breyta beiðni-URI með fyrirmælum
„endurskrifa“ með síðari tilvísun í skrána. - CVE-2026-93479 - Biðminnisflæði á sér stað þegar strengjatjáningar með breytum eru keyrðar og birtist við útreikning á slóðinni að rótarmöppunni og við skráningu beiðna í http og stream einingunum.
- CVE-2026-95101 — sniðgengur takmörkunina „client_max_body_size“ og setur gögn frá þriðja aðila í stað milligöngubeiðni með því að senda gölluð ramma í HTTP/3, þar sem hluti af innihaldi þeirra gæti verið unnið sem meginmál beiðninnar.
- CVE-2026-97629 - TLS lotuþjófnaður vegna þess að einn af lotulyklunum var ekki frumstilltur við snúning.
- CVE-2026-97205 - Öryggisbrestur vegna notkunar eftir að hugbúnaðurinn er slepptur er til staðar þegar skipanirnar „include virtual“ eru notaðar í SSI-síðum í tengslum við ósamstilltan I/O (AIO).
Breytingar í nginx 1.31.7 sem ekki tengjast öryggisgöllum:
- Stuðningur við gagnagrunna í MaxMind (MMDB) sniði hefur verið bætt við einingarnar ngx_http_geoip_module og ngx_stream_geoip_module.
- Innleiddi möguleikann á að athuga eftir IP-tölu SSL vottorð, notað í bakendanum.
- Innleiddi möguleikann á að endurskilgreina og uppfæra keyrsluskrána þegar quic_bpf tilskipunin er notuð í stillingunum.
- Einingin ngx_http_v2_module útfærir forgangsröðunarkerfi sem er í samræmi við RFC 9218.
Njs 1.0.2, eining til að samþætta JavaScript túlka í Nginx HTTP netþjóninn, er nú fáanleg. Njs gerir kleift að nota JavaScript forskriftir í stillingarskrám til að auka getu Nginx. Hægt er að nota forskriftir til að skilgreina háþróaða beiðnavinnslurökfræði, búa til stillingar, búa til svör á kraftmikinn hátt, breyta beiðnum/svörum eða búa fljótt til stubba til að leysa vandamál í vefforritum. Verkefnakóðinn er skrifaður í C og er dreift undir BSD leyfinu.
NJS 1.0.2 lagar eftirfarandi veikleika: minnisþreytu við greiningu á gölluðum XML gögnum (CVE-2026-101025) og brot á staðfestingu undirritaðra XML skjala vegna breytinga á XML eigindum (CVE-2026-101019). Aðferðirnar XMLNode.getAttributeNS() og XMLNode.getChildNS() hafa verið bættar við. Minnisnotkun við þýðingu í NJS vélinni hefur verið minnkuð.
Heimild: opennet.ru
