Nginx 1.30.0

Etter ett års utvikling har Nginx-prosjektet annonsert utgivelsen av den nye stabile versjonen 1.30.0. I forberedelsen av den stabile versjonen har seks sårbarheter blitt rettet, hvorav fire gjelder modulen for behandling av mediefiler og autentiseringsprotokoller. Den viktigste endringen er støtten for HTTP/3 og QUIC, som nå anses som klar for produksjonsmiljø.

Rettede sårbarheter:

• CVE-2026-27654: En buffer-overløp ved behandling av COPY- eller MOVE-forespørsel i en location med alias-direktiv kan tillate en angriper å gå utover rotkatalogen til nettstedet.
• CVE-2026-27784: En spesialtilpasset MP4-fil kan forårsake at arbeidsprosessen krasjer på 32-bits plattformer.
• CVE-2026-27651: Segmenteringsfeil i arbeidsprosessen ved bruk av CRAM-MD5- eller APOP-autentiseringsmetoder med aktivert autentisering på nytt.
• CVE-2026-28753: Bruk av PTR DNS-poster for å injisere data i auth_http-forespørsel og XCLIENT-kommando i SMTP-tilkoblingen til backend.
• CVE-2026-28755: Suksessfull fullføring SSL-håndtrykk, til tross for avvisning av klientsertifikat ved OCSP-validering i stream-modulen.

Andre betydelige nyvinninger:

• HTTP Early Hints (103): Serveren kan sende forhåndsoverskrifter uten å vente på fullstendig generering av svaret fra backend, noe som fremskynder lastingen av sider.
• Encrypted ClientHello (ECH): TLS-personvernsfunksjon som skjuler navnet på den forespurte siden fra nettverksobservatører.
• Sticky Sessions: Sticky-direktivet i upstream-blokken sikrer «binding» av klientøkter til en bestemt server backend.
• Multipath TCP (MPTCP): Støtte for multipath-parameteren i listen-direktivet for å forbedre robustheten og kapasiteten på transportnivå.
• Keep-Alive: Standardverdien for proxy_http_version er endret til 1.1, og Connection-overskriften sendes ikke lenger av proxy-serveren, noe som forbedrer gjenbruken av tilkoblinger.
• OpenSSL 4.0: Sikret kompatibilitet med den kommende hovedversjonen av kryptografibiblioteket.
• geo-modul: include-direktivet inne i geo-blokken støtter nå wildcard-tegn.

Kilde: linux.org.ru