{"id":182227,"date":"2026-06-18T08:48:05","date_gmt":"2026-06-18T06:48:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-nginx-1-31-2-s-ustraneniem-uyazvimostej-ekspluatiruemyh-cherez-http-3-http2-i-grpc"},"modified":"2026-06-18T08:48:05","modified_gmt":"2026-06-18T06:48:05","slug":"obnovlenie-nginx-1-31-2-s-ustraneniem-uyazvimostej-ekspluatiruemyh-cherez-http-3-http2-i-grpc","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/obnovlenie-nginx-1-31-2-s-ustraneniem-uyazvimostej-ekspluatiruemyh-cherez-http-3-http2-i-grpc","title":{"rendered":"Aggiornamento di nginx 1.31.2 con correzioni delle vulnerabilit\u00e0 sfruttate tramite HTTP\/3, HTTP2 e gRPC","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stata rilasciata la versione principale della branch di nginx 1.31.2, all'interno della quale continua lo sviluppo di nuove funzionalit\u00e0, insieme al rilascio della branch stabile parallelamente supportata nginx 1.30.3, per la quale vengono apportate solo modifiche relative alla correzione di gravi errori e vulnerabilit\u00e0. Negli aggiornamenti sono state corrette 3 vulnerabilit\u00e0:<\/p>\n
\n
CVE-2026-42530 \u2014 accesso a una memoria gi\u00e0 liberata (use-after-free) nell'implementazione del protocollo HTTP\/3. Al problema \u00e8 stata assegnata una gravit\u00e0 critica (9.2 su 10), che non esclude l'esecuzione remota di codice con i privilegi del processo durante l'elaborazione di una sessione appositamente formattata secondo il protocollo QUIC.\n
CVE-2026-42055 \u2014 overflow del buffer nei moduli ngx_http_proxy_v2_module e ngx_http_grpc_module, che si manifesta durante il proxying di richieste formattate appositamente secondo il protocollo HTTP\/2 o verso un backend gRPC. Al problema \u00e8 stata assegnata una gravit\u00e0 critica (9.2 su 10), che consente l'esecuzione remota di codice. La vulnerabilit\u00e0 si manifesta in configurazioni con il setting \n\u00abignore_invalid_headers off;\u00bb e un grande valore \u00ablarge_client_header_buffers\u00bb.<\/p>\n
CVE-2026-48142 \u2014 lettura da un'area oltre il buffer allocato durante l'elaborazione di richieste formattate appositamente, che portano alla ricodifica del testo in codifica UTF-8 tramite il modulo ngx_http_charset_module. La vulnerabilit\u00e0 si presenta in configurazioni con la direttiva \u00abcharset_map\u00bb in presenza, nel blocco location, delle direttive \u00absource_charset utf-8\u00bb e \u00abcharset altra_codifica\u00bb. Al problema \u00e8 stata assegnata una gravit\u00e0 media (6.3 su 10), che consente la fuga di contenuto della memoria del processo.\n<\/ul>\n
Oltre alla correzione delle vulnerabilit\u00e0, nella versione nginx 1.31.2 \u00e8 stata aggiunta la variabile $ssl_sigalgs, contenente gli algoritmi di firma digitale dichiarati dal client nel messaggio ClientHello durante il protocollo di handshake TLS. Per la generazione dell'identificatore trasmesso tramite la variabile $request_id \u00e8 stato utilizzato l'algoritmo di hashing SipHash-2-4. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"