Išleista pagrindinė „nginx 1.31.7“ šaka, tęsianti naujų funkcijų kūrimą. Taip pat išleidžiama lygiagreti stabili šaka „nginx 1.30.6“, kurioje yra tik pakeitimai, susiję su rimtų klaidų ir pažeidžiamumų taisymu. Šie atnaujinimai ištaiso penkis pažeidžiamumus:
- CVE-2026-15176 - Naudojant įvyksta buferio perpildymas
„alias“ direktyvos konfigūracijose, kurios keičia užklausos URI per direktyvą
„perrašyti“ su vėlesniu nukreipimu į failą. - CVE-2026-93479 – Buferio perpildymas įvyksta vykdant eilutės išraiškas su kintamaisiais ir pasireiškia skaičiuojant kelią į šakninį katalogą bei registruojant užklausas http ir srauto moduliuose.
- CVE-2026-95101 – apeinant „client_max_body_size“ apribojimą ir pakeičiant trečiųjų šalių duomenis į tarpinio serverio užklausą, perduodant netinkamai suformuotus kadrus HTTP/3 protokolu, kurių dalis galėjo būti apdorota kaip užklausos tekstas.
- CVE-2026-97629 – TLS sesijos klastojimas dėl vieno iš sesijos raktų neinicializavimo rotacijos metu.
- CVE-2026-97205 – Naudojant „include virtual“ komandas SSI puslapiuose kartu su asinchroniniu įvesties/išvesties (AIO) procesu, egzistuoja „use-afree“ pažeidžiamumas.
Su pažeidžiamumu nesusiję pakeitimai „nginx 1.31.7“ versijoje:
- „ngx_http_geoip_module“ ir „ngx_stream_geoip_module“ moduliai palaiko „MaxMind“ (MMDB) formato duomenų bazes.
- Įdiegta galimybė tikrinti pagal IP adresą SSL sertifikatai, naudojamas galinėje dalyje.
- Įdiegta galimybė perkonfigūruoti ir atnaujinti vykdomąjį failą, kai nustatymuose naudojama quic_bpf direktyva.
- Modulis „ngx_http_v2_module“ įgyvendina prioritetizavimo schemą, kuri atitinka RFC 9218.
Jau išleistas „Njs 1.0.2“ – modulis, skirtas „JavaScript“ interpretatoriaus integravimui į „Nginx“ HTTP serverį. „Njs“ leidžia naudoti „JavaScript“ skriptus konfigūracijos failuose, siekiant išplėsti „Nginx“ galimybes. Skriptus galima naudoti norint apibrėžti išplėstinę užklausų apdorojimo logiką, generuoti konfigūraciją, dinamiškai generuoti atsakymus, modifikuoti užklausas / atsakymus arba greitai sukurti fragmentus, kad būtų išspręstos žiniatinklio programų problemos. Projekto kodas parašytas C kalba ir platinamas pagal BSD licenciją.
NJS 1.0.2 ištaiso šiuos pažeidžiamumus: atminties išsekimą analizuojant netinkamai suformuotus XML duomenis (CVE-2026-101025) ir pasirašyto XML dokumento patvirtinimo pažeidimą dėl XML atributų manipuliavimo (CVE-2026-101019). Pridėti metodai XMLNode.getAttributeNS() ir XMLNode.getChildNS(). Sumažintas atminties sunaudojimas kompiliavimo metu NJS variklyje.
Šaltinis: opennet.ru
