Pristatytas pirmasis naujos pagrindinės nginx 1.27.0 šakos leidimas, kuriame bus tęsiamas naujų funkcijų kūrimas. Tuo pačiu metu buvo išleista nginx 1.26.1, kuri priklauso lygiagrečiai palaikomai stabiliai šakai, kuri apima tik pakeitimus, susijusius su rimtų klaidų ir pažeidžiamumų pašalinimu. Kitais metais, remiantis pagrindine šaka 1.27.x, bus suformuota stabili šaka 1.28. Projekto kodas parašytas C kalba ir platinamas pagal BSD licenciją.
Nauji leidimai ištaiso 4 spragas, turinčias įtakos eksperimentiniam moduliui ngx_http_v3 (pagal numatytuosius nustatymus išjungtas), kuris palaiko HTTP/3 protokolą, naudojant QUIC protokolą kaip HTTP/2 transportavimą. Problemos atsiranda tik tada, kai suaktyvinamas modulis ngx_http_v3_module ir direktyvoje „klausymas“ nustatyta parinktis „quic“. Kol kas nėra jokių žinių apie Angie ir FreeNginx šakių pažeidžiamumą.
Dėl CVE-2024-34161 pažeidžiamumo nuteka darbuotojo proceso atmintis sistemose, kurių MTU reikšmė didesnė nei 4096 baitai. Atminties nutekėjimas įvyksta, kai CRYPTO kadrai, naudojami derantis dėl ryšio, siunčiami klientui išsiuntus užbaigimo pranešimą.
CVE-2024-31079, CVE-2024-32760 ir CVE-2024-35200 atminties sugadinimo pažeidžiamumas leidžia nuotoliniam užpuolikui sugriauti nginx darbuotojo procesą, sukuriant specialiai sukurtą seansą, pagrįstą QUIC protokolu. Tuo pačiu metu dėl pažeidžiamumų CVE-2024-31079 ir CVE-2024-32760 negalima atmesti kitų atakos pasekmių (galimos galimybės vykdyti užpuoliko kodą?). Smulkesnė informacija nepateikiama, tačiau, sprendžiant iš pataisymų kode, pažeidžiamumų sukelia prieiga prie jau atlaisvintos atminties (naudojimas po laisvo), neteisingas atminties paskirstymas masyvei, nulinės rodyklės nuorodos atmetimas ir netinkamo failo dydžio patikrinimo trūkumas. duomenys, patalpinti į buferį.
Tarp pakeitimų, nesusijusių su nginx 1.27.0 pažeidžiamumų pašalinimu:
- Kintamųjų nurodymo palaikymas buvo pridėtas prie direktyvų „proxy_limit_rate“, „fastcgi_limit_rate“, „scgi_limit_rate“ ir „uwsgi_limit_rate“.
- Sumažintas atminties suvartojimas apdorojant ilgalaikes užklausas konfigūracijose, kuriose naudojamos „gzip“, „gunzip“, „ssi“, „sub_filter“ arba „grpc_pass“ direktyvos.
- Išspręstos GCC 14 nustatymo iš naujo problemos naudojant parinktį „--with-atomic“.
- Ištaisytos HTTP/3 diegimo klaidos.
Be to, galime atkreipti dėmesį į naujos pagrindinės „FreeNginx 1.27.0“ šakos, „Nginx šakutės“, kurią sukūrė Maksimas Duninas, vienas pagrindinių „Nginx“ kūrėjų, paskelbimą. „FreeNginx“ yra ne pelno siekiantis projektas, teikiantis „Nginx“ kodo bazės kūrimą be įmonės įsikišimo. Naujoji versija pagerino klaidų apdorojimą nuskaitant užklausos turinį, patobulino surinkimą NetBSD 10.0 ir patobulino PID failų rašymą (parametras „off“ buvo įtrauktas į „pid“ direktyvą).
Šaltinis: opennet.ru
