De eerste release van de nieuwe hoofdversie nginx 1.21.0 is gepresenteerd, waarmee de ontwikkeling van nieuwe mogelijkheden zal worden voortgezet. Tegelijkertijd is er een correctieve release voorbereid van de parallel ondersteunde stabiele tak 1.20.1, waarin alleen wijzigingen worden aangebracht die verband houden met het verhelpen van ernstige fouten en kwetsbaarheden. Volgend jaar zal op basis van de hoofdversie 1.21.x een stabiele tak 1.22 worden gevormd.
In de nieuwe versies is een kwetsbaarheid (CVE-2021-23017) verholpen in de code voor het resolven van hostnamen in DNS, die kan leiden tot een crash of potentieel tot het uitvoeren van aanvaller's code. Het probleem komt voort uit de verwerking van bepaalde antwoorden van de DNS-server, wat kan leiden tot een eenbyte buffer overflow. De kwetsbaarheid doet zich alleen voor wanneer het in de instellingen van de DNS-resolver is ingeschakeld via de directive 'resolver'. Voor een aanval moet de aanvaller in staat zijn om UDP-pakketten van de DNS-server na te maken of controle te krijgen over de DNS-server. De kwetsbaarheid is aanwezig vanaf release nginx 0.6.18. Om het probleem in oudere releases op te lossen, kan een patch worden gebruikt.
Wijzigingen in nginx 1.21.0 die niet met veiligheid te maken hebben:
- In de directives 'proxy_ssl_certificate', 'proxy_ssl_certificate_key', 'grpc_ssl_certificate', 'grpc_ssl_certificate_key', 'uwsgi_ssl_certificate' en 'uwsgi_ssl_certificate_key' is ondersteuning voor variabelen toegevoegd.
- In de mail proxy-module is ondersteuning voor 'pipelining' toegevoegd voor het verzenden van meerdere POP3- of IMAP-verzoeken in één verbinding, en is er een nieuwe directive 'max_errors' toegevoegd die het maximum aantal protocolfouten definieert waarna de verbinding wordt gesloten.
- In de stream-module is de parameter 'fastopen' toegevoegd, die de modus 'TCP Fast Open' inschakelt voor luisterende sockets.
- Problemen met het ontsnappen van speciale tekens bij automatische omleiding met toevoeging van een slash aan het einde zijn opgelost.
- Een probleem met het sluiten van verbindingen met klanten bij het gebruik van SMTP pipelining is opgelost.
Bron: opennet.ru
