メインのnginx 1.31.7ブランチがリリースされ、新機能の開発が継続されています。並行してリリースされた安定版ブランチであるnginx 1.30.6もリリースされ、こちらは深刻なバグや脆弱性の修正に関する変更のみが含まれています。これらのアップデートでは、以下の5つの脆弱性に対処しています。
- CVE-2026-15176 - バッファオーバーフローが発生する
ディレクティブを介してリクエスト URI を変更する構成内の「alias」ディレクティブ
ファイルへのリダイレクトを伴う「書き換え」。 - CVE-2026-93479 - 変数を含む文字列式を実行する際にバッファオーバーフローが発生し、ルートディレクトリへのパスの計算時、およびhttpモジュールとstreamモジュールでのリクエストのログ記録時に顕在化します。
- CVE-2026-95101 — HTTP/3で不正な形式のフレームを送信することにより、「client_max_body_size」制限を回避し、プロキシ経由のリクエストにサードパーティのデータを置き換える。その内容の一部がリクエストボディとして処理される可能性がある。
- CVE-2026-97629 - セッションキーのローテーション中にセッションキーの1つを初期化せずに放置したことによるTLSセッションのなりすまし。
- CVE-2026-97205 - SSIページで「include virtual」コマンドを非同期I/O（AIO）と組み合わせて使用すると、解放済みメモリ使用の脆弱性が存在します。
nginx 1.31.7における脆弱性とは関係のない変更点：
- ngx_http_geoip_module および ngx_stream_geoip_module モジュールに、MaxMind (MMDB) 形式のデータベースのサポートが追加されました。
- IPアドレスによるチェック機能を実装しました SSL証明書バックエンドで使用されます。
- 設定でquic_bpfディレクティブを使用する場合に、実行可能ファイルを再構成および更新する機能を実装しました。
- ngx_http_v2_moduleモジュールは、RFC 9218に準拠した優先順位付けスキームを実装しています。
Nginx HTTPサーバーにJavaScriptインタープリタを統合するためのモジュール、Njs 1.0.2がリリースされました。Njsを使用すると、設定ファイル内でJavaScriptスクリプトを記述してNginxの機能を拡張できます。スクリプトは、高度なリクエスト処理ロジックの定義、設定ファイルの生成、レスポンスの動的な生成、リクエスト/レスポンスの変更、Webアプリケーションの問題を解決するためのスタブの迅速な作成などに使用できます。プロジェクトコードはC言語で記述されており、BSDライセンスで配布されています。
NJS 1.0.2 では、不正な形式の XML データを解析する際のメモリ枯渇 (CVE-2026-101025) と、XML 属性の操作による署名付き XML 文書検証違反 (CVE-2026-101019) の脆弱性が修正されています。また、XMLNode.getAttributeNS() メソッドと XMLNode.getChildNS() メソッドが追加されました。さらに、NJS エンジンでのコンパイル時のメモリ消費量が削減されています。
出所： オープンネット.ru
