Nginx 1.25.4 രണ്ട് HTTP/3 കേടുപാടുകൾ പരിഹരിക്കുന്നു

nginx 1.25.4-ന്റെ പ്രധാന ബ്രാഞ്ച് പുറത്തിറങ്ങി, അതിനുള്ളിൽ പുതിയ ഫീച്ചറുകളുടെ വികസനം തുടരുന്നു. സമാന്തരമായി പരിപാലിക്കുന്ന സ്ഥിരതയുള്ള ബ്രാഞ്ച് 1.24.x-ൽ ഗുരുതരമായ ബഗുകളും കേടുപാടുകളും ഇല്ലാതാക്കുന്നതുമായി ബന്ധപ്പെട്ട മാറ്റങ്ങൾ മാത്രമേ അടങ്ങിയിട്ടുള്ളൂ. ഭാവിയിൽ, പ്രധാന ബ്രാഞ്ച് 1.25.x അടിസ്ഥാനമാക്കി, ഒരു സ്ഥിരതയുള്ള ബ്രാഞ്ച് 1.26 രൂപീകരിക്കും. പ്രോജക്റ്റ് കോഡ് സിയിൽ എഴുതുകയും ബിഎസ്ഡി ലൈസൻസിന് കീഴിൽ വിതരണം ചെയ്യുകയും ചെയ്യുന്നു.

В новой версии устранены две уязвимости в экспериментальном модуле http_v3_module (отключён по умолчанию), обеспечивающем поддержку протокола HTTP/3, использующего протокол QUIC в качестве транспорта для HTTP/2. Первая уязвимость (CVE-2024-24989) вызвана разыменованием нулевого указателя, а вторая (CVE-2024-24990) обращением к памяти после её освобождения (CVE-2024-24990). В списке изменений утверждается, что обе уязвимости могут привести лишь к аварийному завершению рабочего процесса при обработке специально оформленных сеансов QUIC, но для второй уязвимости судя по всему анализ более серьёзных последствий не проводился.

Помимо устранения уязвимостей в новой версии также внесены общие улучшения и исправления в реализацию HTTP/3, а также устранены ошибки, связанные с утечкой сокетов, ошибками сокетов или аварийным завершением при использовании AIO. Решена проблема с преждевременным закрытием соединений с незавершенными AIO-операциями во время мягкого завершения старых рабочих процессов. Устранено аварийное завершение при перенаправлении ошибок с кодом 415 при помощи директивы error_page, в случае использования SSL-проксирования и директивы image_filter.

Кроме того, несколько дней назад состоялся выпуск njs 0.8.4, интерпретатора языка JavaScript для веб-сервера nginx. Интерпретатор njs реализует стандарты ECMAScript и позволяет расширять возможности nginx по обработке запросов с помощью скриптов в конфигурации. Скрипты могут использоваться в файле конфигурации для определения расширенной логики обработки запросов, формирования конфигурации, динамической генерации ответа, модификации запроса/ответа или быстрого создания заглушек с решением проблем в web-приложениях. В новой версии отмечено только исправление ошибок.

അവലംബം: opennet.ru