nginx 1.31.6 izlaišana ar bufera pārplūdes novēršanu HTTP/3 īstenojumā

Ir publicēta Nginx 1.31.6 galvenās filiāles versija, kurā turpinās jaunās iespējas. Paralēli atbalstītajā stabilajā 1.30.x filiālē tiek veiktas tikai izmaiņas, kas saistītas ar nopietnu kļūdu un ievainojamību novēršanu. Turpmāk uz galvenās filiāles 1.31.x pamata tiks izveidota stabilā 1.32 filiāle. Projekta kods ir uzrakstīts C valodā un tiek izplatīts saskaņā ar BSD licenci.

Jaunajā laidienā ir novērsta ievainojamība (CVE-2026-90439) ngx_http_v3_module modulī, kas izraisa bufera pārplūdi, manipulējoties ar parametriem TLS savienošanas saskaņošanas posmā. Tiek apgalvots, ka uzbrucējs nevar kontrolēt datus, kas tiek ierakstīti ārpus bufera, un ievainojamība aprobežojas ar pakalpojuma atteikšanu vai datu bojāšanu. Problēma rodas no Nginx 1.29.2 laidiena konfigurācijām, kas izveidotas ar OpenSSL 3.5.0 un agrākām versijām.

Citu izmaiņu vidū ir kļūdu labojumi un pāreja uz visu QUIC transporta protokola parametru ignorēšanu, kas saņemtas TLS savienošanas uzstādīšanas procesā.

Avots: opennet.lv