De hoofdversie van nginx 1.25.4 is uitgebracht, waarin de ontwikkeling van nieuwe mogelijkheden doorgaat. In de parallel ondersteunde stabiele tak 1.24.x worden alleen wijzigingen aangebracht die verband houden met het oplossen van ernstige fouten en kwetsbaarheden. In de toekomst zal op basis van de hoofdversie 1.25.x een stabiele versie 1.26 worden gevormd. De projectcode is geschreven in de programmeertaal C en wordt verspreid onder de BSD-licentie.
In de nieuwe versie zijn twee kwetsbaarheden opgelost in de experimentele module http_v3_module (standaard uitgeschakeld), die ondersteuning biedt voor het HTTP/3-protocol dat QUIC gebruikt als transport voor HTTP/2. De eerste kwetsbaarheid (CVE-2024-24989) wordt veroorzaakt door het dereferencen van een null-pointer, terwijl de tweede (CVE-2024-24990) betrekking heeft op geheugen na vrijgave (CVE-2024-24990). In de wijzigingslijst wordt gesteld dat beide kwetsbaarheden alleen kunnen leiden tot een onverwachte beƫindiging van de werkproces bij de verwerking van speciaal ontworpen QUIC-sessies, maar voor de tweede kwetsbaarheid lijkt er geen analyse van ernstigere gevolgen te zijn uitgevoerd.
Naast het oplossen van kwetsbaarheden zijn er in de nieuwe versie ook algemene verbeteringen en bugfixes aangebracht in de implementatie van HTTP/3, evenals het oplossen van fouten met socketlekken, socketfouten of crashes bij het gebruik van AIO. Een probleem met voortijdige beƫindiging van verbindingen met onvoltooide AIO-bewerkingen tijdens een zachte beƫindiging van oude werkprocessen is opgelost. Er is een crash verholpen bij het omleiden van fouten met code 415 met behulp van de error_page-directive, in het geval van gebruik SSL-proxying en de image_filter-directive.
Bovendien vond enkele dagen geleden de release van njs 0.8.4 plaats, de JavaScript-interpreter voor webserver nginx. De njs-interpreter implementeert ECMAScript-normen en stelt gebruikers in staat om de mogelijkheden van nginx uit te breiden voor het verwerken van verzoeken met scripts in de configuratie. Scripts kunnen in het configuratiebestand worden gebruikt om uitgebreide logica voor verzoekverwerking, configuratievorming, dynamische generatie van antwoorden, wijziging van verzoek/antwoord of snelle prototyping met probleemoplossing in webapplicaties vast te stellen. In de nieuwe versie is alleen een bugfix gemeld.
Bron: opennet.ru
