È stata rilasciata la versione principale di nginx 1.29.7, all'interno della quale continua lo sviluppo di nuove funzionalità, oltre al rilascio della versione stabile supportata in parallelo, nginx 1.28.3, alla quale vengono apportate solo modifiche legate alla correzione di gravi errori e vulnerabilità. Gli aggiornamenti risolvono 6 vulnerabilità, tre delle quali portano a un overflow del buffer. Quattro vulnerabilità sono state classificate come ad alto rischio (8.8 o 8.5 su 10).
- CVE-2026-27654 — overflow del buffer nel modulo ngx_http_dav_module, che si verifica durante l'elaborazione delle richieste WebDAV COPY e MOVE quando si utilizzano nei blocchi "location" della direttiva "alias". La vulnerabilità consente di modificare i percorsi dei file per accedere al di fuori della directory di base. Il problema è stato identificato utilizzando il modello AI Claude.
- CVE-2026-27784, CVE-2026-32647 — overflows del buffer nel modulo ngx_http_mp4_module, che si verificano durante l'elaborazione di file mp4 opportunamente formattati. Non si esclude che l'attacco sfrutti la vulnerabilità oltre a causare l'interruzione anomala del processo.
- CVE-2026-27651 — dereferenziamento di un puntatore nullo durante l'uso non corretto dei metodi di autenticazione CRAM-MD5 o APOP.
- CVE-2026-28753 — possibilità di manipolare le voci PTR nel DNS per inserire i dati dell'attaccante nelle richieste auth_http e nel comando XCLIENT nelle connessioni SMTP al backend.
- CVE-2026-28755 — elusione del risultato della verifica OCSP del certificato nel modulo stream.
Tra le modifiche non relative alla sicurezza in nginx 1.29.7
- Aggiunta la supporto per il protocollo Multipath TCP (MPTCP), che consente di inviare pacchetti contemporaneamente su più percorsi attraverso diverse interfacce di rete. Per abilitarlo, è stato aggiunto il parametro «multipath» alla direttiva «listen».
- Nella direttiva «keepalive», utilizzata nel blocco «upstream», è stato aggiunto il parametro «local». Specificando questo parametro, invece di utilizzare una singola connessione al comune server upstream, menzionato in diversi blocchi location e server, si supporta una connessione separata a upstream per ciascun blocco.
- Nel blocco «upstream», la direttiva «keepalive» è ora attivata per impostazione predefinita.
- Quando si utilizza la modalità proxy per impostazione predefinita, la versione del protocollo HTTP/1.1 viene impostata con l'attivazione della modalità keep-alive (il modulo ngx_http_proxy_module supporta keep-alive per impostazione predefinita e imposta il valore «1.1» nella direttiva «proxy_http_version», interrompendo l'invio del header «Connection» per impostazione predefinita). Per ripristinare il comportamento precedente, che consente di accedere ai backend che supportano solo HTTP/1.0, è necessario impostare le seguenti configurazioni: proxy_http_version 1.0; proxy_set_header Connection «Close»;
Fonte: opennet.ru
