Ir izlaista galvenÄ nginx 1.31.7 versija, kas turpina jaunu funkciju izstrÄdi. Tiek izlaista arÄ« paralÄlÄ stabilÄ versija nginx 1.30.6, kas satur tikai izmaiÅas, kas saistÄ«tas ar nopietnu kļūdu un ievainojamÄ«bu novÄrÅ”anu. Å ie atjauninÄjumi novÄrÅ” piecas ievainojamÄ«bas:
- CVE-2026-15176 ā Izmantojot, rodas bufera pÄrpilde
"alias" direktÄ«vas konfigurÄcijÄs, kas maina pieprasÄ«juma URI, izmantojot direktÄ«vu
"pÄrrakstÄ«t" ar sekojoÅ”u novirzÄ«Å”anu uz failu. - CVE-2026-93479 ā Bufera pÄrpilde rodas, izpildot virknes izteiksmes ar mainÄ«gajiem, un tÄ izpaužas, aprÄÄ·inot ceļu uz saknes direktoriju un reÄ£istrÄjot pieprasÄ«jumus http un straumes moduļos.
- CVE-2026-95101 ā ierobežojuma "client_max_body_size" apieÅ”ana un treÅ”Äs puses datu aizstÄÅ”ana ar starpniekservera pieprasÄ«jumu, pÄrsÅ«tot nepareizi veidotus kadrus HTTP/3 protokolÄ, kuru saturu varÄja apstrÄdÄt kÄ pieprasÄ«juma pamattekstu.
- CVE-2026-97629 ā TLS sesijas viltoÅ”ana, jo rotÄcijas laikÄ viena no sesijas atslÄgÄm netika inicializÄta.
- CVE-2026-97205 ā Izmantojot SSI lapÄs komandas āinclude virtualā kopÄ ar asinhrono I/O (AIO), pastÄv āuse-after-freeā ievainojamÄ«ba.
Ar ievainojamÄ«bu nesaistÄ«tas izmaiÅas nginx 1.31.7 versijÄ:
- Atbalsts datubÄzÄm MaxMind (MMDB) formÄtÄ ir pievienots ngx_http_geoip_module un ngx_stream_geoip_module moduļiem.
- Ieviesta iespÄja pÄrbaudÄ«t pÄc IP adreses SSL sertifikÄti, tiek izmantots aizmugursistÄmÄ.
- Ieviesta iespÄja pÄrkonfigurÄt un atjauninÄt izpildÄmo failu, iestatÄ«jumos izmantojot quic_bpf direktÄ«vu.
- Modulis ngx_http_v2_module ievieÅ” prioritÄÅ”u noteikÅ”anas shÄmu, kas atbilst RFC 9218.
Tagad ir pieejams Njs 1.0.2 ā modulis JavaScript interpretÄtÄja integrÄÅ”anai Nginx HTTP serverÄ«. Njs ļauj izmantot JavaScript skriptus konfigurÄcijas failos, lai paplaÅ”inÄtu Nginx iespÄjas. Skriptus var izmantot, lai definÄtu uzlabotu pieprasÄ«jumu apstrÄdes loÄ£iku, Ä£enerÄtu konfigurÄciju, dinamiski Ä£enerÄtu atbildes, modificÄtu pieprasÄ«jumus/atbildes vai Ätri izveidotu nepilnus, lai atrisinÄtu problÄmas tÄ«mekļa lietojumprogrammÄs. Projekta kods ir rakstÄ«ts C valodÄ un tiek izplatÄ«ts saskaÅÄ ar BSD licenci.
NJS 1.0.2 novÄrÅ” Å”Ädas ievainojamÄ«bas: atmiÅas izsÄ«kums, parsÄjot nepareizi veidotus XML datus (CVE-2026-101025), un parakstÄ«tu XML dokumentu validÄcijas pÄrkÄpums XML atribÅ«tu manipulÄcijas dÄļ (CVE-2026-101019). Ir pievienotas metodes XMLNode.getAttributeNS() un XMLNode.getChildNS(). Ir samazinÄts atmiÅas patÄriÅÅ” kompilÄcijas laikÄ NJS dzinÄjÄ.
Avots: opennet.ru
