De release van de hoofdversie nginx 1.23.2 is gevormd, waarin de ontwikkeling van nieuwe mogelijkheden voortzet, evenals de release van de parallel ondersteunde stabiele versie nginx 1.22.1, waarin alleen wijzigingen worden aangebracht die verband houden met het verhelpen van ernstige fouten en kwetsbaarheden.
In de nieuwe versies zijn twee kwetsbaarheden (CVE-2022-41741, CVE-2022-41742) verholpen in de module ngx_http_mp4_module, die wordt gebruikt voor het streamen van bestanden in H.264/AAC-formaat. De kwetsbaarheden kunnen leiden tot geheugenbeschadiging of geheugenlekken bij de verwerking van speciaal vormgegeven mp4-bestanden. De gevolgen omvatten het onvoorzien beëindigen van een proces, maar andere verschijnselen, zoals de uitvoering van code, kunnen ook niet worden uitgesloten. de server.
Het is opmerkelijk dat een soortgelijke kwetsbaarheid al in 2012 werd verholpen in de module ngx_http_mp4_module. Daarnaast meldde F5 een soortgelijke kwetsbaarheid (CVE-2022-41743) in het product NGINX Plus, die de module ngx_http_hls_module betreft, die ondersteuning biedt voor het HLS-protocol (Apple HTTP Live Streaming).
Naast de verhelpen van kwetsbaarheden in nginx 1.23.2 zijn de volgende wijzigingen voorgesteld:
- Ondersteuning voor de variabelen «$proxy_protocol_tlv_*» is toegevoegd, waarin de waarden van TLV (Type-Length-Value) velden worden opgeslagen die voorkomen in het Type-Length-Value PROXY v2-protocol.
- Automatische rotatie van versleuteling sleutels voor TLS-sessie tickets is gegarandeerd, toegepast bij het gebruik van gedeeld geheugen in de ssl_session_cache-directive.
- Het logniveau voor fouten met betrekking tot onjuiste typen contacten is verlaagd van kritiek naar informatief niveau. SSL, het logniveau voor berichten over het onvermogen om geheugen voor een nieuwe sessie toe te wijzen, is gewijzigd van alert naar warn en beperkt tot één melding per seconde.
- Op het Windows-platform is de build met OpenSSL 3.0 geconfigureerd.
- Reflectie in het log van fouten van het PROXY-protocol is geregeld.
- Een probleem is verholpen waardoor de timeout die in de «ssl_session_timeout»-directive was opgegeven, niet werkte bij gebruik van TLSv1.3 op basis van OpenSSL of BoringSSL.
- De release van de hoofdversie nginx 1.23.2 is gevormd, waarin de ontwikkeling van nieuwe mogelijkheden voortzet, evenals de release van de parallel ondersteunde stabiele versie nginx 1.22.1, waarin alleen wijzigingen worden aangebracht.
Bron: opennet.ru
