{"id":166097,"date":"2026-03-25T11:12:50","date_gmt":"2026-03-25T09:12:50","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej"},"modified":"2026-03-25T11:12:50","modified_gmt":"2026-03-25T09:12:50","slug":"obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej","title":{"rendered":"Aggiornamenti nginx 1.29.7 e 1.28.3 con la risoluzione di 6 vulnerabilit\u00e0","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stata rilasciata la versione principale di nginx 1.29.7, nell'ambito della quale continua lo sviluppo di nuove funzionalit\u00e0, oltre al rilascio della versione stabile a supporto parallelo nginx 1.28.3, nella quale vengono apportate solo modifiche relative alla correzione di gravi errori e vulnerabilit\u00e0. Negli aggiornamenti sono state risolte 6 vulnerabilit\u00e0, tre delle quali portano a un overflow del buffer. Quattro vulnerabilit\u00e0 hanno ricevuto un alto livello di pericolo (8.8 o 8.5 su 10). <\/p>\n
\n
CVE-2026-27654 \u2014 overflow del buffer nel modulo ngx_http_dav_module, che si verifica durante l'elaborazione delle richieste WebDAV COPY e MOVE quando si utilizza la direttiva 'alias' nei blocchi 'location'. La vulnerabilit\u00e0 consente di modificare i percorsi dei file per accedere al di fuori della directory base. Il problema \u00e8 stato rilevato utilizzando il modello AI Claude.\n
CVE-2026-27784, CVE-2026-32647 \u2014 overflow dei buffer nel modulo ngx_http_mp4_module, che si verificano durante l'elaborazione di file mp4 appositamente formattati. Non si esclude che l'esploitazione della vulnerabilit\u00e0 non si limiti al crash del processo.\n
CVE-2026-27651 \u2014 dereferenziazione di un puntatore nullo durante l'uso errato dei metodi di autenticazione CRAM-MD5 o APOP.\n
CVE-2026-28753 \u2014 possibilit\u00e0 di manipolare i record PTR nel DNS per sostituire i dati dell'attaccante nelle richieste auth_http e nel comando XCLIENT in una connessione SMTP al backend.\n
CVE-2026-28755 \u2014 bypass del risultato della verifica OCSP del certificato nel modulo stream. <\/ul>\n
Tra le modifiche non relative alla sicurezza in nginx 1.29.7 <\/p>\n
\n
\u00c8 stata aggiunta la supporto per il protocollo Multipath TCP (MPTCP), che consente di inviare pacchetti contemporaneamente su pi\u00f9 percorsi attraverso diverse interfacce di rete. Per attivarlo, \u00e8 stato aggiunto il parametro \"multipath\" alla direttiva \"listen\".\n
Nella direttiva 'keepalive', utilizzata nel blocco 'upstream', \u00e8 stato aggiunto il parametro 'local'. Specificando questo parametro, invece di condividere una connessione verso un comune server upstream menzionato in diversi blocchi location e server, per ogni blocco viene mantenuta una connessione separata all'upstream.\n
Nel blocco 'upstream' \u00e8 stato attivato di default la direttiva 'keepalive'.\n
Quando si utilizza in modalit\u00e0 proxy, di default \u00e8 impostata la versione del protocollo HTTP\/1.1 con l'attivazione della modalit\u00e0 keep-alive (nel modulo ngx_http_proxy_module il supporto per keep-alive \u00e8 abilitato di default ed \u00e8 impostato il valore '1.1' nella direttiva 'proxy_http_version' e l'invio del header 'Connection' \u00e8 stato disattivato di default). Per ripristinare il comportamento precedente, che consente di accedere ai backend che supportano solo HTTP\/1.0, \u00e8 necessario impostare le seguenti configurazioni: proxy_http_version 1.0; proxy_set_header Connection 'Close'; <\/ul>\n