È stata rilasciata la versione principale di nginx 1.29.7, nell'ambito della quale continua lo sviluppo di nuove funzionalità, oltre al rilascio della versione stabile a supporto parallelo nginx 1.28.3, nella quale vengono apportate solo modifiche relative alla correzione di gravi errori e vulnerabilità. Negli aggiornamenti sono state risolte 6 vulnerabilità, tre delle quali portano a un overflow del buffer. Quattro vulnerabilità hanno ricevuto un alto livello di pericolo (8.8 o 8.5 su 10).
- CVE-2026-27654 — overflow del buffer nel modulo ngx_http_dav_module, che si verifica durante l'elaborazione delle richieste WebDAV COPY e MOVE quando si utilizza nei blocchi "location" la direttiva "alias". La vulnerabilità consente di alterare i percorsi dei file per accedere al di fuori della cartella base. Il problema è stato rilevato utilizzando il modello AI Claude.
- CVE-2026-27784, CVE-2026-32647 — overflow dei buffer nel modulo ngx_http_mp4_module, che si verifica durante l'elaborazione di file mp4 appositamente formattati. Non è escluso che l'esploitazione della vulnerabilità non si limiti a un arresto anomalo del processo.
- CVE-2026-27651 — dereferenziazione di un puntatore nullo durante l'uso improprio dei metodi di autenticazione CRAM-MD5 o APOP.
- CVE-2026-28753 — possibilità di manipolare le voci PTR nel DNS per iniettare dati dell'attaccante nelle richieste auth_http e nel comando XCLIENT in una connessione SMTP al backend.
- CVE-2026-28755 — elusione del risultato della verifica del certificato OCSP nel modulo stream.
Tra le modifiche non relative alla sicurezza in nginx 1.29.7
- È stato aggiunto il supporto per il protocollo Multipath TCP (MPTCP), che consente di inviare pacchetti simultaneamente su diversi percorsi tramite interfacce di rete differenti. Per attivarlo, è stato aggiunto il parametro «multipath» nella direttiva «listen».
- Nella direttiva "keepalive", utilizzata nel blocco "upstream", è stato aggiunto il parametro "local". Specificando questo parametro, invece di condividere una sola connessione con il server upstream comune menzionato in diversi blocchi location e server, per ogni blocco viene mantenuta una connessione separata con l'upstream.
- Nel blocco "upstream" è stata attivata per impostazione predefinita la direttiva "keepalive".
- Utilizzando la modalità proxy, per impostazione predefinita è stata impostata la versione del protocollo HTTP/1.1 attivando la modalità keep-alive (nel modulo ngx_http_proxy_module il supporto per il keep-alive è abilitato per impostazione predefinita e il valore "1.1" è impostato nella direttiva "proxy_http_version", e l'invio dell'intestazione "Connection" è stato interrotto di default). Per ripristinare il comportamento precedente, che consente di accedere a backend che supportano solo HTTP/1.0, è necessario impostare le seguenti configurazioni: proxy_http_version 1.0; proxy_set_header Connection "Close";
Fonte: opennet.ru
