ការធ្វើបច្ចុប្បន្នភាព Nginx 1.22.1 និង 1.23.2 ជាមួយនឹងភាពងាយរងគ្រោះត្រូវបានជួសជុល

សាខាសំខាន់នៃ nginx 1.23.2 ត្រូវបានចេញផ្សាយ ដែលក្នុងនោះការអភិវឌ្ឍន៍មុខងារថ្មីនៅតែបន្ត ក៏ដូចជាការចេញផ្សាយនៃសាខាស្ថេរភាពដែលគាំទ្រស្របគ្នានៃ nginx 1.22.1 ដែលរួមបញ្ចូលតែការផ្លាស់ប្តូរទាក់ទងនឹងការលុបបំបាត់កំហុសធ្ងន់ធ្ងរ និង ភាពងាយរងគ្រោះ។

កំណែថ្មីលុបបំបាត់ភាពងាយរងគ្រោះចំនួនពីរ (CVE-2022-41741, CVE-2022-41742) នៅក្នុងម៉ូឌុល ngx_http_mp4_module ដែលប្រើដើម្បីរៀបចំការផ្សាយពីឯកសារក្នុងទម្រង់ H.264/AAC ។ ភាពងាយរងគ្រោះអាចនាំឱ្យខូចអង្គចងចាំ ឬការលេចធ្លាយអង្គចងចាំ នៅពេលដំណើរការឯកសារ mp4 ដែលបង្កើតជាពិសេស។ ការបញ្ចប់ជាបន្ទាន់នៃដំណើរការការងារត្រូវបានលើកឡើងថាជាផលវិបាក ប៉ុន្តែការបង្ហាញផ្សេងទៀតមិនត្រូវបានដកចេញទេ ដូចជាការរៀបចំកូដនៅលើម៉ាស៊ីនមេ។

គួរកត់សម្គាល់ថាភាពងាយរងគ្រោះស្រដៀងគ្នានេះត្រូវបានជួសជុលរួចហើយនៅក្នុងម៉ូឌុល ngx_http_mp4_module ក្នុងឆ្នាំ 2012។ លើសពីនេះទៀត F5 បានរាយការណ៍ពីភាពងាយរងគ្រោះស្រដៀងគ្នា (CVE-2022-41743) នៅក្នុងផលិតផល NGINX Plus ដែលប៉ះពាល់ដល់ម៉ូឌុល ngx_http_hls_module ដែលផ្តល់ការគាំទ្រសម្រាប់ពិធីការ HLS (Apple HTTP Live Streaming) ។

បន្ថែមពីលើការលុបបំបាត់ភាពងាយរងគ្រោះ ការផ្លាស់ប្តូរខាងក្រោមត្រូវបានស្នើឡើងនៅក្នុង nginx 1.23.2៖

• បានបន្ថែមការគាំទ្រសម្រាប់អថេរ “$proxy_protocol_tlv_*” ដែលមានតម្លៃនៃវាល TLV (ប្រភេទ-ប្រវែង-តម្លៃ) ដែលបង្ហាញក្នុងពិធីការ Type-Length-Value PROXY v2។
• បានផ្តល់ការបង្វិលដោយស្វ័យប្រវត្តិនៃសោអ៊ិនគ្រីបសម្រាប់សំបុត្រវគ្គ TLS ដែលប្រើនៅពេលប្រើអង្គចងចាំដែលបានចែករំលែកនៅក្នុងការណែនាំ ssl_session_cache ។
• កម្រិតនៃការកត់ត្រាសម្រាប់កំហុសដែលទាក់ទងនឹងប្រភេទកំណត់ត្រា SSL មិនត្រឹមត្រូវត្រូវបានបន្ទាបពីកម្រិតសំខាន់ទៅកម្រិតព័ត៌មាន។
• កម្រិតនៃការកត់ត្រាសារអំពីអសមត្ថភាពក្នុងការបែងចែកអង្គចងចាំសម្រាប់វគ្គថ្មីត្រូវបានផ្លាស់ប្តូរពីការជូនដំណឹងទៅជាការព្រមាន ហើយត្រូវបានកំណត់ចំពោះការចេញធាតុមួយក្នុងមួយវិនាទី។
• នៅលើវេទិកាវីនដូ ការជួបប្រជុំគ្នាជាមួយ OpenSSL 3.0 ត្រូវបានបង្កើតឡើង។
• ការឆ្លុះបញ្ចាំងឱ្យប្រសើរឡើងនៃកំហុសពិធីការ PROXY នៅក្នុងកំណត់ហេតុ។
• បានដោះស្រាយបញ្ហាដែលការអស់ពេលដែលបានបញ្ជាក់នៅក្នុងការណែនាំ "ssl_session_timeout" មិនដំណើរការនៅពេលប្រើ TLSv1.3 ផ្អែកលើ OpenSSL ឬ BoringSSL ។

ប្រភព: opennet.ru