Негізгі nginx 1.31.7 тармағы шығарылды, жаңа мүмкіндіктерді әзірлеу жалғасуда. Параллель тұрақты тармақ, nginx 1.30.6, да шығарылуда, онда тек күрделі қателер мен осалдықтарды түзетуге қатысты өзгерістер бар. Бұл жаңартулар бес осалдықты шешеді:
- CVE-2026-15176 - Пайдаланылған кезде буфердің толып кетуі орын алады
директива арқылы сұраныс URI мекенжайын өзгертетін конфигурациялардағы "alias" директивалары
кейіннен файлға қайта бағыттаумен «қайта жазу». - CVE-2026-93479 - Буфердің толып кетуі айнымалылары бар жол өрнектерін орындаған кезде пайда болады және түбірлік каталогқа жолды есептеген кезде және http және stream модульдерінде сұраныстарды тіркеген кезде көрінеді.
- CVE-2026-95101 — «client_max_body_size» шектеуін айналып өтіп, HTTP/3 протоколында дұрыс емес пішінделген кадрларды жіберу арқылы үшінші тарап деректерін прокси-сұранысқа ауыстыру, олардың кейбіреулері сұраныстың негізгі бөлігі ретінде өңделуі мүмкін.
- CVE-2026-97629 - Айналдыру кезінде сессия кілттерінің бірін инициализацияламай қалдыруға байланысты TLS сессиясының спуфингі.
- CVE-2026-97205 - SSI беттерінде асинхронды енгізу/шығару (AIO) функцияларымен бірге «виртуалды қосу» командаларын пайдаланған кезде пайдаланудан кейінгі осалдық бар.
Nginx 1.31.7 нұсқасындағы осалдыққа байланысты емес өзгерістер:
- MaxMind (MMDB) форматындағы дерекқорларға қолдау ngx_http_geoip_module және ngx_stream_geoip_module модульдеріне қосылды.
- IP мекенжайы бойынша тексеру мүмкіндігі енгізілді SSL сертификаттары, артқы жағында қолданылады.
- Параметрлерде quic_bpf директивасын пайдалану кезінде орындалатын файлды қайта конфигурациялау және жаңарту мүмкіндігі енгізілді.
- ngx_http_v2_module модулі RFC 9218 стандартына сәйкес келетін басымдық схемасын жүзеге асырады.
Nginx HTTP серверіне JavaScript интерпретаторын біріктіруге арналған Njs 1.0.2 модулі енді қолжетімді. Njs Nginx мүмкіндіктерін кеңейту үшін конфигурация файлдарында JavaScript сценарийлерін пайдалануға мүмкіндік береді. Скрипттерді кеңейтілген сұранысты өңдеу логикасын анықтау, конфигурацияны жасау, жауаптарды динамикалық түрде жасау, сұраныстарды/жауаптарды өзгерту немесе веб-қосымшалардағы мәселелерді шешу үшін тез арада жазбалар жасау үшін пайдалануға болады. Жоба коды C тілінде жазылған және BSD лицензиясы бойынша таратылады.
NJS 1.0.2 келесі осалдықтарды түзетеді: дұрыс емес пішімделген XML деректерін талдау кезінде жадтың таусылуы (CVE-2026-101025) және XML атрибуттарын манипуляциялауға байланысты қол қойылған XML құжатын тексерудің бұзылуы (CVE-2026-101019). XMLNode.getAttributeNS() және XMLNode.getChildNS() әдістері қосылды. NJS қозғалтқышында компиляция кезінде жадты тұтыну азайды.
Ақпарат көзі: opennet.ru
