កំណែថ្មីនៃ nginx 1.27.0 ជាមួយនឹងការលុបបំបាត់ភាពងាយរងគ្រោះចំនួន 4 នៅក្នុងការអនុវត្ត HTTP/3

ការចេញផ្សាយដំបូងនៃសាខាសំខាន់ថ្មីរបស់ nginx 1.27.0 ត្រូវបានបង្ហាញ ដែលក្នុងនោះការអភិវឌ្ឍន៍មុខងារថ្មីៗនឹងបន្ត។ ក្នុងពេលជាមួយគ្នានោះ nginx 1.26.1 ត្រូវបានចេញផ្សាយ ដែលជាកម្មសិទ្ធិរបស់សាខាស្ថេរភាពដែលគាំទ្រប៉ារ៉ាឡែល ដែលរួមបញ្ចូលតែការផ្លាស់ប្តូរទាក់ទងនឹងការលុបបំបាត់កំហុស និងភាពងាយរងគ្រោះធ្ងន់ធ្ងរប៉ុណ្ណោះ។ នៅឆ្នាំក្រោយ ដោយផ្អែកលើសាខាសំខាន់ 1.27.x សាខាដែលមានស្ថេរភាព 1.28 នឹងត្រូវបានបង្កើតឡើង។ លេខកូដគម្រោងត្រូវបានសរសេរជា C និងចែកចាយក្រោមអាជ្ញាប័ណ្ណ BSD ។

ការចេញផ្សាយថ្មីជួសជុលភាពងាយរងគ្រោះចំនួន 4 ដែលប៉ះពាល់ដល់ម៉ូឌុល ngx_http_v3 ពិសោធន៍ (បិទតាមលំនាំដើម) ដែលផ្តល់ការគាំទ្រសម្រាប់ពិធីការ HTTP/3 ដោយប្រើពិធីការ QUIC ជាការដឹកជញ្ជូនសម្រាប់ HTTP/2 ។ បញ្ហាលេចឡើងតែនៅពេលដែលម៉ូឌុល ngx_http_v3_module ត្រូវបានធ្វើឱ្យសកម្ម ហើយជម្រើស "quic" ត្រូវបានកំណត់នៅក្នុងការណែនាំ "ស្តាប់" ។ មិនទាន់មានពាក្យណាមួយស្តីពីភាពងាយរងគ្រោះរបស់ Angie និង FreeNginx forks នៅឡើយទេ។

ភាពងាយរងគ្រោះ CVE-2024-34161 បណ្តាលឱ្យអង្គចងចាំដំណើរការរបស់កម្មករលេចធ្លាយនៅលើប្រព័ន្ធដែលមានតម្លៃ MTU ធំជាង 4096 បៃ។ ការលេចធ្លាយអង្គចងចាំកើតឡើងនៅពេលដែលស៊ុម CRYPTO ដែលត្រូវបានប្រើក្នុងការចរចាការតភ្ជាប់ត្រូវបានផ្ញើបន្ទាប់ពីអតិថិជនផ្ញើសារចុងក្រោយ។

ភាពងាយរងគ្រោះនៃអំពើពុករលួយនៃអង្គចងចាំ CVE-2024-31079, CVE-2024-32760 និង CVE-2024-35200 អនុញ្ញាតឱ្យអ្នកវាយប្រហារពីចម្ងាយគាំងដំណើរការបុគ្គលិក nginx ដោយបង្កើតវគ្គដែលបង្កើតជាពិសេសដោយផ្អែកលើពិធីការ QUIC ។ ក្នុងពេលជាមួយគ្នានេះ សម្រាប់ភាពងាយរងគ្រោះ CVE-2024-31079 និង CVE-2024-32760 ផលវិបាកផ្សេងទៀតនៃការវាយប្រហារមិនអាចដកចេញបានទេ (លទ្ធភាពនៃការប្រតិបត្តិកូដរបស់អ្នកវាយប្រហារ?) ព័ត៌មានលម្អិតមិនត្រូវបានផ្តល់ឱ្យទេ ប៉ុន្តែការវិនិច្ឆ័យដោយការកែតម្រូវនៅក្នុងកូដ ភាពងាយរងគ្រោះត្រូវបានបង្កឡើងដោយការចូលប្រើអង្គចងចាំដែលបានដោះលែងរួចហើយ (ប្រើប្រាស់បន្ទាប់ពីឥតគិតថ្លៃ) ការបែងចែកអង្គចងចាំមិនត្រឹមត្រូវសម្រាប់អារេ ការបដិសេធទ្រនិចទទេ និងការខ្វះការត្រួតពិនិត្យត្រឹមត្រូវនៃទំហំរបស់ ទិន្នន័យដែលដាក់ក្នុងទ្រនាប់។

ក្នុងចំណោមការផ្លាស់ប្តូរដែលមិនទាក់ទងនឹងការលុបបំបាត់ភាពងាយរងគ្រោះនៅក្នុង nginx 1.27.0៖

• ការគាំទ្រសម្រាប់ការបញ្ជាក់អថេរត្រូវបានបន្ថែមទៅ "proxy_limit_rate", "fastcgi_limit_rate", "scgi_limit_rate" និង "uwsgi_limit_rate" ការណែនាំ។
• កាត់បន្ថយការប្រើប្រាស់អង្គចងចាំនៅពេលដំណើរការសំណើដែលមានរយៈពេលយូរនៅក្នុងការកំណត់ដែលប្រើការណែនាំ "gzip", "gunzip", "ssi", "sub_filter" ឬ "grpc_pass" ។
• បានដោះស្រាយបញ្ហាជាមួយនឹងការកំណត់ឡើងវិញនៅក្នុង GCC 14 នៅពេលប្រើជម្រើស "--with-atomic" ។
• កំហុសក្នុងការអនុវត្ត HTTP/3 ត្រូវបានជួសជុល។

លើសពីនេះទៀត យើងអាចកត់សម្គាល់ការបោះពុម្ភផ្សាយនៃសាខាសំខាន់ថ្មីនៃ FreeNginx 1.27.0 ដែលជាសមនៃ Nginx ដែលត្រូវបានបង្កើតឡើងដោយ Maxim Dunin ដែលជាអ្នកអភិវឌ្ឍន៍ដ៏សំខាន់មួយរបស់ Nginx ។ FreeNginx ត្រូវបានដាក់ជាគម្រោងមិនរកប្រាក់ចំណេញដែលផ្តល់នូវការអភិវឌ្ឍន៍មូលដ្ឋានកូដ Nginx ដោយគ្មានអន្តរាគមន៍ពីសាជីវកម្ម។ កំណែថ្មីបានធ្វើឱ្យប្រសើរឡើងនូវការដោះស្រាយកំហុសនៅពេលអានផ្នែកសំណើ ធ្វើឱ្យប្រសើរឡើងនូវការជួបប្រជុំគ្នានៅក្នុង NetBSD 10.0 និងការកែលម្អការសរសេរឯកសារ PID (ប៉ារ៉ាម៉ែត្រ "បិទ" ត្រូវបានបន្ថែមទៅការណែនាំ "pid") ។

ប្រភព: opennet.ru