De release van de hoofdversie nginx 1.31.7 is samengesteld, waarin de ontwikkeling van nieuwe mogelijkheden doorgaat, evenals de release van de parallel ondersteunde stabiele versie nginx 1.30.6, waar alleen wijzigingen worden aangebracht die verband houden met het oplossen van ernstige fouten en kwetsbaarheden. In de updates zijn 5 kwetsbaarheden verholpen:
- CVE-2026-15176 — buffer overflow, die optreedt bij het gebruik van
de ‘alias’ directive in configuraties die de URI van het verzoek wijzigen via de ‘rewrite’ directive met een verdere doorverwijzing naar een bestand.
CVE-2026-93479 — buffer overflow, die optreedt bij de uitvoering van stringexpressies met variabelen en zich manifesteert bij het berekenen van het pad naar de root directory en bij het loggen van verzoeken in de http- en streammodules. - CVE-2026-95101 — omzeilen van de beperking ‘client_max_body_size’ en invoegen van externe gegevens in het doorgestuurde verzoek door het verzenden van onjuiste frames in HTTP/3, waarvan een deel als de request body kon worden behandeld.
- CVE-2026-97629 — vervalsing van TLS-sessies door het onbeheerd achterlaten van een van de sessiesleutels tijdens rotatie.
- CVE-2026-97205 — toegang tot geheugen na vrijgave (use-after-free), die optreedt bij het gebruik van de ‘include virtual’ commando’s op SSI-pagina’s in combinatie met asynchrone input/output (AIO).
- Niet-kwekezergerelateerde wijzigingen in nginx 1.31.7:
Ondersteuning voor databases in MaxMind (MMDB) formaat is toegevoegd aan de modules ngx_http_geoip_module en ngx_stream_geoip_module.
- De mogelijkheid om te controleren op IP-adressen is geïmplementeerd
- , gebruikt in de backend. SSL-certificatenHerconfiguratie- en updatefunctionaliteit van het uitvoerbare bestand is gerealiseerd bij het gebruik van de quic_bpf directive in de instellingen.
- In de ngx_http_v2_module is een prioriteitsschema geïmplementeerd dat overeenkomt met RFC 9218.
- Gelijktijdig is de release njs 1.0.2 beschikbaar, een module voor de integratie van de JavaScript-interpreter in de http-server nginx. Njs maakt het mogelijk om JavaScript-scripts te gebruiken in configuratiebestanden ter uitbreiding van de mogelijkheden van nginx. Scripts kunnen worden gebruikt voor het definiëren van geavanceerde logica voor verzoekverwerking, het genereren van configuraties, het dynamisch genereren van antwoorden, het modificeren van verzoeken/antwoorden of het snel creëren van stubs voor het oplossen van problemen in webapplicaties. De projectcode is geschreven in C en wordt verspreid onder de BSD-licentie.
Tegelijkertijd is de release van njs 1.0.2 beschikbaar, een module voor de integratie van de JavaScript-interpreter in de http-server nginx. Njs maakt het mogelijk om JavaScript-scripts te gebruiken in configuratiebestanden om de mogelijkheden van nginx uit te breiden. Scripts kunnen worden gebruikt voor het definiëren van geavanceerde logica voor verzoekverwerking, configuratieformulering, dynamische responsgeneratie, aanpassing van verzoeken/reacties of voor het snel creëren van tijdelijke oplossingen voor problemen in webapplicaties. De code van het project is geschreven in C en wordt verspreid onder de BSD-licentie.
In de release van njs 1.0.2 zijn kwetsbaarheden verholpen: uitputting van beschikbare geheugen bij het analyseren van onjuiste XML-gegevens (CVE-2026-101025) en schending van de ondertekening van een XML-document door manipulatie met XML-attributen (CVE-2026-101019). Methoden XMLNode.getAttributeNS() en XMLNode.getChildNS() zijn toegevoegd. Het geheugengebruik bij compilatie in de njs-engine is verminderd.
Bron: opennet.ru
