HTTP/3 Buffer Overflow အတွက် ပြင်ဆင်မှုဖြင့် Nginx 1.31.6 ထွက်ရှိ

nginx 1.31.6 ၏ ပင်မဌာနခွဲကို ထုတ်ဝေခဲ့ပြီး၊ အင်္ဂါရပ်အသစ်များ ဆက်လက်ဖြစ်ထွန်းလာခဲ့သည်။ တဆက်တည်းတွင်၊ တည်ငြိမ်သောဌာနခွဲ 1.30.x ကို ပံ့ပိုးထားပြီး၊ ကြီးလေးသောအမှားအယွင်းများနှင့် အားနည်းချက်များကို ဖယ်ရှားခြင်းဆိုင်ရာ အပြောင်းအလဲများကိုသာ ပြုလုပ်ပါသည်။ အနာဂတ်တွင်၊ တည်ငြိမ်သောဌာနခွဲ 1.31 သည် ပင်မဌာနခွဲ 1.32.x ကို အခြေခံ၍ ဖွဲ့စည်းမည်ဖြစ်သည်။ ပရောဂျက်ကုဒ်ကို C ဖြင့်ရေးသားထားပြီး BSD လိုင်စင်အောက်တွင် ဖြန့်ဝေထားသည်။

ဤထုတ်ဝေမှုသည် TLS handshake အဆင့်အတွင်း parameter များကို ကိုင်တွယ်သည့်အခါ buffer overflow ဖြစ်စေသော ngx_http_v3_module module ရှိ အားနည်းချက် (CVE-2026-90439) ကို ပြင်ဆင်ပေးပါသည်။ တိုက်ခိုက်သူသည် out-of-buffer area တွင် ရေးသားထားသော data ကို ထိန်းချုပ်၍မရကြောင်းနှင့် အားနည်းချက်သည် denial of service သို့မဟုတ် data corrupt တွင်သာ ကန့်သတ်ထားကြောင်း ဖော်ပြထားသည်။ OpenSSL 3.5.0 နှင့် ထို့ထက်စောသော configuration များတွင် nginx 1.29.2 မှစတင်၍ ပြဿနာသည် ပေါ်လာပါသည်။

အခြားပြောင်းလဲမှုများတွင် bug ပြင်ဆင်မှုများနှင့် TLS ချိတ်ဆက်မှုတည်ဆောက်ခြင်းလုပ်ငန်းစဉ်အတွင်း ရရှိသော QUIC transport protocol parameters အားလုံးကို လျစ်လျူရှုခြင်းပါဝင်သည်။

source: opennet.ru