Nginx 1.21.0, nginx 1.20.1 എന്നിവ അപകടസാധ്യത പരിഹരിക്കലിനൊപ്പം പുറത്തിറങ്ങുന്നു

nginx 1.21.0-ന്റെ പുതിയ പ്രധാന ശാഖയുടെ ആദ്യ പതിപ്പ് അവതരിപ്പിച്ചു, അതിനുള്ളിൽ പുതിയ ഫീച്ചറുകളുടെ വികസനം തുടരും. അതേ സമയം, പിന്തുണയ്ക്കുന്ന സ്ഥിരതയുള്ള ബ്രാഞ്ച് 1.20.1 ന് സമാന്തരമായി ഒരു തിരുത്തൽ റിലീസ് തയ്യാറാക്കി, ഇത് ഗുരുതരമായ പിശകുകളും കേടുപാടുകളും ഇല്ലാതാക്കുന്നതുമായി ബന്ധപ്പെട്ട മാറ്റങ്ങൾ മാത്രം അവതരിപ്പിക്കുന്നു. അടുത്ത വർഷം, പ്രധാന ബ്രാഞ്ച് 1.21.x അടിസ്ഥാനമാക്കി, ഒരു സ്ഥിരതയുള്ള ബ്രാഞ്ച് 1.22 രൂപീകരിക്കും.

പുതിയ പതിപ്പുകൾ DNS-ലെ ഹോസ്റ്റ്നാമങ്ങൾ പരിഹരിക്കുന്നതിനുള്ള കോഡിലെ ഒരു കേടുപാടുകൾ (CVE-2021-23017) പരിഹരിക്കുന്നു, ഇത് ഒരു ക്രാഷിലേക്ക് നയിച്ചേക്കാം അല്ലെങ്കിൽ ആക്രമണകാരി കോഡ് നടപ്പിലാക്കാൻ സാധ്യതയുണ്ട്. ചില ഡിഎൻഎസ് സെർവർ പ്രതികരണങ്ങളുടെ പ്രോസസ്സിംഗിൽ പ്രശ്നം സ്വയം പ്രത്യക്ഷപ്പെടുന്നു, അതിന്റെ ഫലമായി ഒരു-ബൈറ്റ് ബഫർ ഓവർഫ്ലോ ഉണ്ടാകുന്നു. "റിസോൾവർ" നിർദ്ദേശം ഉപയോഗിച്ച് DNS റിസോൾവർ ക്രമീകരണങ്ങളിൽ പ്രവർത്തനക്ഷമമാക്കുമ്പോൾ മാത്രമേ അപകടസാധ്യത ദൃശ്യമാകൂ. ഒരു ആക്രമണം നടത്താൻ, ഒരു ആക്രമണകാരിക്ക് DNS സെർവറിൽ നിന്ന് UDP പാക്കറ്റുകൾ കബളിപ്പിക്കാനോ DNS സെർവറിന്റെ നിയന്ത്രണം നേടാനോ കഴിയണം. nginx 0.6.18 പുറത്തിറങ്ങിയതിനുശേഷം ഈ അപകടസാധ്യത പ്രത്യക്ഷപ്പെട്ടു. പഴയ റിലീസുകളിലെ പ്രശ്നം പരിഹരിക്കാൻ ഒരു പാച്ച് ഉപയോഗിക്കാം.

nginx 1.21.0-ലെ സുരക്ഷിതമല്ലാത്ത മാറ്റങ്ങൾ:

• "proxy_ssl_certificate", "proxy_ssl_certificate_key", "grpc_ssl_certificate", "grpc_ssl_certificate_key", "uwsgi_ssl_certificate_key", "sslwcertificate".
• ഒരു കണക്ഷനിൽ ഒന്നിലധികം POP3 അല്ലെങ്കിൽ IMAP അഭ്യർത്ഥനകൾ അയയ്‌ക്കുന്നതിനുള്ള "പൈപ്പ്ലൈനിംഗ്" എന്നതിനുള്ള പിന്തുണ മെയിൽ പ്രോക്സി മൊഡ്യൂൾ ചേർത്തു, കൂടാതെ ഒരു പുതിയ നിർദ്ദേശം "max_errors" ചേർത്തു, അത് കണക്ഷൻ അവസാനിപ്പിക്കുന്ന പരമാവധി പ്രോട്ടോക്കോൾ പിശകുകളെ നിർവചിക്കുന്നു.
• സ്ട്രീം മൊഡ്യൂളിലേക്ക് ഒരു "ഫാസ്റ്റോപ്പൻ" പാരാമീറ്റർ ചേർത്തു, ലിസണിംഗ് സോക്കറ്റുകൾക്കായി "TCP ഫാസ്റ്റ് ഓപ്പൺ" മോഡ് പ്രവർത്തനക്ഷമമാക്കുന്നു.
• ഓട്ടോമാറ്റിക് റീഡയറക്‌ടുകളിൽ അവസാനം ഒരു സ്ലാഷ് ചേർത്ത് പ്രത്യേക പ്രതീകങ്ങൾ ഒഴിവാക്കുന്നതിലെ പ്രശ്‌നങ്ങൾ പരിഹരിച്ചു.
• SMTP പൈപ്പ്ലൈനിംഗ് ഉപയോഗിക്കുമ്പോൾ ക്ലയന്റുകളിലേക്കുള്ള കണക്ഷനുകൾ അടയ്ക്കുന്നതിലെ പ്രശ്നം പരിഹരിച്ചു.

അവലംബം: opennet.ru