עדכון nginx 1.31.7 ו-njs 1.0.2 עם תיקוני פגיעויות

הענף הראשי של nginx 1.31.7 יצא, וממשיך בפיתוח של תכונות חדשות. הענף היציב המקביל, nginx 1.30.6, יוצא גם הוא, והוא מכיל רק שינויים הקשורים לתיקון באגים ופגיעויות חמורות. עדכונים אלה מטפלים בחמש פגיעויות:

• CVE-2026-15176 - גלישת מאגר מתרחשת בעת שימוש
  הנחיות "alias" בתצורות שמשנות את URI הבקשה באמצעות הנחיה
  "לכתוב מחדש" עם הפניה מחדש לאחר מכן לקובץ.
• CVE-2026-93479 - גלישת מאגר מתרחשת בעת ביצוע ביטויי מחרוזות עם משתנים ומתבטאת בעת חישוב הנתיב לתיקיית השורש ובעת רישום בקשות במודולים http ו-stream.
• CVE-2026-95101 - עקיפת המגבלה "client_max_body_size" והחלפת נתוני צד שלישי בבקשה שנשלחה דרך פרוקסי על ידי שידור מסגרות בעלות מבנה שגוי ב-HTTP/3, שחלק מתוכן עשוי להיות מעובד כגוף הבקשה.
• CVE-2026-97629 - זיוף סשן TLS עקב השארת אחד ממפתחות הסשן ללא אותחול במהלך הסיבוב.
• CVE-2026-97205 - קיימת פגיעות מסוג "use-after-free" בעת שימוש בפקודות "include virtual" בדפי SSI בשילוב עם קלט/פלט אסינכרוני (AIO).

שינויים שאינם קשורים לפגיעות ב-nginx 1.31.7:

• תמיכה בבסיסי נתונים בפורמט MaxMind ‏(MMDB) נוספה למודולים ngx_http_geoip_module ו-ngx_stream_geoip_module.
• הטמעה אפשרות בדיקה לפי כתובת IP תעודות SSL, המשמש ב-backend.
• יושם האפשרות להגדיר מחדש ולעדכן את קובץ ההפעלה בעת שימוש בהוראת quic_bpf בהגדרות.
• המודול ngx_http_v2_module מיישם סכמת קביעת עדיפויות התואמת ל-RFC 9218.

Njs 1.0.2, מודול לשילוב מפרש JavaScript בשרת ה-HTTP של Nginx, זמין כעת. Njs מאפשר שימוש בסקריפטים של JavaScript בקבצי תצורה כדי להרחיב את יכולות Nginx. ניתן להשתמש בסקריפטים כדי להגדיר לוגיקת עיבוד בקשות מתקדמת, ליצור תצורה, ליצור תגובות באופן דינמי, לשנות בקשות/תגובות, או ליצור במהירות קבצי stub כדי לפתור בעיות ביישומי אינטרנט. קוד הפרויקט כתוב בשפת C ומופץ תחת רישיון BSD.

גרסה 1.0.2 של NJS מתקנת את הפגיעויות הבאות: תשישות זיכרון בעת ​​ניתוח נתוני XML בעלי מבנה שגוי (CVE-2026-101025) והפרה של אימות מסמך XML חתום עקב מניפולציה של תכונות XML (CVE-2026-101019). נוספו השיטות XMLNode.getAttributeNS() ו-XMLNode.getChildNS(). צריכת הזיכרון במהלך קומפילציה במנוע NJS הופחתה.

מקור: OpenNet.ru