განაახლეთ nginx 1.31.7 და njs 1.0.2 დაუცველობის გამოსწორებით

გამოვიდა nginx 1.31.7-ის მთავარი განშტოება, რომელიც ახალი ფუნქციების განვითარებას განაგრძობს. ასევე გამოდის პარალელური სტაბილური განშტოება, nginx 1.30.6, რომელიც მხოლოდ სერიოზული შეცდომებისა და დაუცველობების გამოსწორებასთან დაკავშირებულ ცვლილებებს შეიცავს. ეს განახლებები ხუთ დაუცველობას აგვარებს:

• CVE-2026-15176 - გამოყენებისას ხდება ბუფერული გადავსება
  „ალიას“ დირექტივები კონფიგურაციებში, რომლებიც დირექტივის მეშვეობით ცვლიან მოთხოვნის URI-ს
  "გადაწერა" ფაილზე შემდგომი გადამისამართებით.
• CVE-2026-93479 - ბუფერის გადავსება ხდება ცვლადებით სტრიქონული გამოსახულებების შესრულებისას და ვლინდება root დირექტორიისკენ მიმავალი გზის გამოთვლისას და http და stream მოდულებში მოთხოვნების ჟურნალირებისას.
• CVE-2026-95101 — „client_max_body_size“ შეზღუდვის გვერდის ავლა და მესამე მხარის მონაცემების ჩანაცვლება პროქსი სერვერზე HTTP/3-ში არასწორი ჩარჩოების გადაცემით, რომელთა ნაწილის შინაარსი შეიძლება დამუშავდეს მოთხოვნის სხეულად.
• CVE-2026-97629 - TLS სესიის გაყალბება როტაციის დროს სესიის ერთ-ერთი გასაღების არაინიციალიზაციის გამო.
• CVE-2026-97205 - SSI გვერდებზე „include virtual“ ბრძანებების ასინქრონულ შეყვანა/გამოსვლასთან (AIO) ერთად გამოყენებისას არსებობს use-after-free დაუცველობა.

nginx 1.31.7 ვერსიაში დაუცველობასთან დაკავშირებული ცვლილებები:

• MaxMind (MMDB) ფორმატის მონაცემთა ბაზების მხარდაჭერა დაემატა ngx_http_geoip_module და ngx_stream_geoip_module მოდულებს.
• დანერგილია IP მისამართით შემოწმების შესაძლებლობა SSL სერთიფიკატები, გამოიყენება ბექენდში.
• პარამეტრებში quic_bpf დირექტივის გამოყენებისას დანერგილია შესრულებადი ფაილის ხელახლა კონფიგურაციისა და განახლების შესაძლებლობა.
• ngx_http_v2_module მოდული ახორციელებს პრიორიტეტიზაციის სქემას, რომელიც შეესაბამება RFC 9218 სტანდარტს.

Njs 1.0.2, JavaScript ინტერპრეტატორის Nginx HTTP სერვერში ინტეგრირების მოდული, უკვე ხელმისაწვდომია. Njs საშუალებას იძლევა კონფიგურაციის ფაილებში JavaScript სკრიპტების გამოყენებისა Nginx-ის შესაძლებლობების გაფართოების მიზნით. სკრიპტების გამოყენება შესაძლებელია მოთხოვნის დამუშავების გაფართოებული ლოგიკის განსაზღვრისთვის, კონფიგურაციის გენერირებისთვის, პასუხების დინამიურად გენერირებისთვის, მოთხოვნების/პასუხების შესაცვლელად ან ვებ-აპლიკაციებში პრობლემების გადასაჭრელად სტაბების სწრაფად შესაქმნელად. პროექტის კოდი დაწერილია C ენაზე და გავრცელებულია BSD ლიცენზიით.

NJS 1.0.2 ასწორებს შემდეგ დაუცველობებს: მეხსიერების ამოწურვას არასწორად ფორმირებული XML მონაცემების დამუშავებისას (CVE-2026-101025) და ხელმოწერილი XML დოკუმენტის ვალიდაციის დარღვევას XML ატრიბუტის მანიპულირების გამო (CVE-2026-101019). დაემატა XMLNode.getAttributeNS() და XMLNode.getChildNS() მეთოდები. NJS ძრავში კომპილაციის დროს მეხსიერების მოხმარება შემცირდა.

წყარო: opennet.ru