Негизги nginx 1.31.7 бутагы чыгарылды, жаңы функцияларды иштеп чыгуу уланууда. Параллель туруктуу бутак, nginx 1.30.6, да чыгарылууда, анда олуттуу каталарды жана алсыздыктарды оңдоого байланыштуу өзгөртүүлөр гана камтылган. Бул жаңыртуулар беш алсыздыкты чечет:
- CVE-2026-15176 - Колдонулганда буфердин ашып кетиши байкалат
директива аркылуу суроо-талаптын URI дарегин өзгөрткөн конфигурациялардагы "alias" директивалары
"кайра жазуу", андан кийин файлга багыттоо. - CVE-2026-93479 - Буфердин ашып кетиши өзгөрмөлөр менен сап туюнтмаларын аткарууда пайда болот жана түпкү каталогго жолду эсептөөдө жана http жана stream модулдарында суроо-талаптарды каттоодо өзүн көрсөтөт.
- CVE-2026-95101 — "client_max_body_size" чектөөсүн айланып өтүп, HTTP/3'те туура эмес формацияланган кадрларды берүү менен үчүнчү тараптын маалыматтарын прокси сурамга алмаштыруу, алардын айрымдары сурамдын негизги бөлүгү катары иштетилиши мүмкүн.
- CVE-2026-97629 - Айландыруу учурунда сессия ачкычтарынын бири инициализацияланбаган бойдон калгандыктан, TLS сессиясынын жасалмаланышы.
- CVE-2026-97205 - SSI баракчаларында асинхрондук киргизүү/чыгаруу (AIO) менен бирге "виртуалдык кошуу" буйруктарын колдонгондо, колдонуудан кийин акысыз алсыздык пайда болот.
nginx 1.31.7 версиясындагы аялуу эмес өзгөрүүлөр:
- MaxMind (MMDB) форматындагы маалымат базаларын колдоо ngx_http_geoip_module жана ngx_stream_geoip_module модулдарына кошулду.
- IP дареги боюнча текшерүү мүмкүнчүлүгү ишке ашырылды SSL сертификаттары, арткы бөлүктө колдонулат.
- Орнотуулардагы quic_bpf директивасын колдонууда аткарылуучу файлды кайра конфигурациялоо жана жаңыртуу мүмкүнчүлүгү ишке ашырылды.
- ngx_http_v2_module модулу RFC 9218 стандартына ылайык келген артыкчылык берүү схемасын ишке ашырат.
Nginx HTTP серверине JavaScript интерпретаторун интеграциялоочу модуль болгон Njs 1.0.2 эми жеткиликтүү. Njs Nginxтин мүмкүнчүлүктөрүн кеңейтүү үчүн конфигурация файлдарында JavaScript скрипттерин колдонууга мүмкүндүк берет. Скрипттер өркүндөтүлгөн суроо-талапты иштетүү логикасын аныктоо, конфигурацияны түзүү, жоопторду динамикалык түрдө түзүү, суроо-талаптарды/жоопторду өзгөртүү же веб-тиркемелердеги көйгөйлөрдү чечүү үчүн тез арада stub түзүү үчүн колдонулушу мүмкүн. Долбоордун коду C тилинде жазылган жана BSD лицензиясы боюнча таратылат.
NJS 1.0.2 төмөнкү кемчиликтерди оңдойт: туура эмес формацияланган XML маалыматтарын талдоодо эс тутумдун түгөнүшү (CVE-2026-101025) жана XML атрибуттарын манипуляциялоодон улам кол коюлган XML документинин валидациясынын бузулушу (CVE-2026-101019). XMLNode.getAttributeNS() жана XMLNode.getChildNS() методдору кошулду. NJS кыймылдаткычында компиляция учурунда эс тутумду керектөө азайды.
Source: opennet.ru
