Nginx 1.22.1 ਅਤੇ 1.23.2 ਅੱਪਡੇਟ ਕਮਜ਼ੋਰੀਆਂ ਦੇ ਨਾਲ ਫਿਕਸ ਕੀਤੇ ਗਏ ਹਨ

nginx 1.23.2 ਦੀ ਮੁੱਖ ਸ਼ਾਖਾ ਜਾਰੀ ਕੀਤੀ ਗਈ ਹੈ, ਜਿਸ ਦੇ ਅੰਦਰ ਨਵੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਦਾ ਵਿਕਾਸ ਜਾਰੀ ਹੈ, ਨਾਲ ਹੀ nginx 1.22.1 ਦੀ ਸਮਾਨਾਂਤਰ ਸਮਰਥਿਤ ਸਥਿਰ ਸ਼ਾਖਾ ਦੀ ਰਿਹਾਈ, ਜਿਸ ਵਿੱਚ ਸਿਰਫ ਗੰਭੀਰ ਗਲਤੀਆਂ ਦੇ ਖਾਤਮੇ ਨਾਲ ਸਬੰਧਤ ਤਬਦੀਲੀਆਂ ਸ਼ਾਮਲ ਹਨ ਅਤੇ ਕਮਜ਼ੋਰੀਆਂ

ਨਵੇਂ ਸੰਸਕਰਣ ngx_http_mp2022_module ਮੋਡੀਊਲ ਵਿੱਚ ਦੋ ਕਮਜ਼ੋਰੀਆਂ (CVE-41741-2022, CVE-41742-4) ਨੂੰ ਖਤਮ ਕਰਦੇ ਹਨ, ਜੋ ਕਿ H.264/AAC ਫਾਰਮੈਟ ਵਿੱਚ ਫਾਈਲਾਂ ਤੋਂ ਸਟ੍ਰੀਮਿੰਗ ਨੂੰ ਸੰਗਠਿਤ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਖਾਸ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੀ mp4 ਫਾਈਲ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਸਮੇਂ ਕਮਜ਼ੋਰੀਆਂ ਮੈਮੋਰੀ ਭ੍ਰਿਸ਼ਟਾਚਾਰ ਜਾਂ ਮੈਮੋਰੀ ਲੀਕ ਹੋ ਸਕਦੀਆਂ ਹਨ। ਇੱਕ ਕੰਮ ਦੀ ਪ੍ਰਕਿਰਿਆ ਦੀ ਇੱਕ ਸੰਕਟਕਾਲੀ ਸਮਾਪਤੀ ਨੂੰ ਨਤੀਜੇ ਵਜੋਂ ਦਰਸਾਇਆ ਗਿਆ ਹੈ, ਪਰ ਹੋਰ ਪ੍ਰਗਟਾਵੇ ਨੂੰ ਬਾਹਰ ਨਹੀਂ ਰੱਖਿਆ ਗਿਆ ਹੈ, ਜਿਵੇਂ ਕਿ ਸਰਵਰ 'ਤੇ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਦਾ ਸੰਗਠਨ।

ਇਹ ਧਿਆਨ ਦੇਣ ਯੋਗ ਹੈ ਕਿ 4 ਵਿੱਚ ngx_http_mp2012_module ਮੋਡੀਊਲ ਵਿੱਚ ਇੱਕ ਸਮਾਨ ਕਮਜ਼ੋਰੀ ਪਹਿਲਾਂ ਹੀ ਫਿਕਸ ਕੀਤੀ ਗਈ ਸੀ। ਇਸ ਤੋਂ ਇਲਾਵਾ, F5 ਨੇ NGINX ਪਲੱਸ ਉਤਪਾਦ ਵਿੱਚ ਇੱਕ ਸਮਾਨ ਕਮਜ਼ੋਰੀ (CVE-2022-41743) ਦੀ ਰਿਪੋਰਟ ਕੀਤੀ, ਜੋ ngx_http_hls_module ਮੋਡੀਊਲ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦੀ ਹੈ, ਜੋ HLS (ਐਪਲ HTTP ਲਾਈਵ ਸਟ੍ਰੀਮਿੰਗ) ਪ੍ਰੋਟੋਕੋਲ ਲਈ ਸਮਰਥਨ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ।

ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਦੂਰ ਕਰਨ ਤੋਂ ਇਲਾਵਾ, ਨਿਮਨਲਿਖਤ ਤਬਦੀਲੀਆਂ nginx 1.23.2 ਵਿੱਚ ਪ੍ਰਸਤਾਵਿਤ ਹਨ:

• "$proxy_protocol_tlv_*" ਵੇਰੀਏਬਲਾਂ ਲਈ ਸਮਰਥਨ ਜੋੜਿਆ ਗਿਆ, ਜਿਸ ਵਿੱਚ TLV (Type-Length-Value) ਖੇਤਰਾਂ ਦੇ ਮੁੱਲ ਸ਼ਾਮਲ ਹੁੰਦੇ ਹਨ ਜੋ Type-Length-Value PROXY v2 ਪ੍ਰੋਟੋਕੋਲ ਵਿੱਚ ਦਿਖਾਈ ਦਿੰਦੇ ਹਨ।
• TLS ਸੈਸ਼ਨ ਟਿਕਟਾਂ ਲਈ ਐਨਕ੍ਰਿਪਸ਼ਨ ਕੁੰਜੀਆਂ ਦਾ ਆਟੋਮੈਟਿਕ ਰੋਟੇਸ਼ਨ ਪ੍ਰਦਾਨ ਕੀਤਾ ਗਿਆ ਹੈ, ਜਦੋਂ ssl_session_cache ਡਾਇਰੈਕਟਿਵ ਵਿੱਚ ਸਾਂਝੀ ਕੀਤੀ ਮੈਮੋਰੀ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।
• ਗਲਤ SSL ਰਿਕਾਰਡ ਕਿਸਮਾਂ ਨਾਲ ਸਬੰਧਤ ਤਰੁੱਟੀਆਂ ਲਈ ਲਾਗਿੰਗ ਪੱਧਰ ਨੂੰ ਨਾਜ਼ੁਕ ਤੋਂ ਸੂਚਨਾ ਪੱਧਰ ਤੱਕ ਘਟਾ ਦਿੱਤਾ ਗਿਆ ਹੈ।
• ਇੱਕ ਨਵੇਂ ਸੈਸ਼ਨ ਲਈ ਮੈਮੋਰੀ ਨਿਰਧਾਰਤ ਕਰਨ ਵਿੱਚ ਅਸਮਰੱਥਾ ਬਾਰੇ ਸੁਨੇਹਿਆਂ ਲਈ ਲੌਗਿੰਗ ਪੱਧਰ ਨੂੰ ਚੇਤਾਵਨੀ ਤੋਂ ਚੇਤਾਵਨੀ ਵਿੱਚ ਬਦਲ ਦਿੱਤਾ ਗਿਆ ਹੈ ਅਤੇ ਪ੍ਰਤੀ ਸਕਿੰਟ ਇੱਕ ਐਂਟਰੀ ਆਉਟਪੁੱਟ ਕਰਨ ਤੱਕ ਸੀਮਿਤ ਹੈ।
• ਵਿੰਡੋਜ਼ ਪਲੇਟਫਾਰਮ 'ਤੇ, OpenSSL 3.0 ਨਾਲ ਅਸੈਂਬਲੀ ਸਥਾਪਤ ਕੀਤੀ ਗਈ ਹੈ।
• ਲੌਗ ਵਿੱਚ PROXY ਪ੍ਰੋਟੋਕੋਲ ਗਲਤੀਆਂ ਦਾ ਸੁਧਾਰਿਆ ਪ੍ਰਤੀਬਿੰਬ।
• ਇੱਕ ਮੁੱਦਾ ਹੱਲ ਕੀਤਾ ਗਿਆ ਹੈ ਜਿੱਥੇ OpenSSL ਜਾਂ BoringSSL 'ਤੇ ਆਧਾਰਿਤ TLSv1.3 ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ "ssl_session_timeout" ਨਿਰਦੇਸ਼ਕ ਵਿੱਚ ਨਿਰਧਾਰਤ ਸਮਾਂ ਸਮਾਪਤੀ ਕੰਮ ਨਹੀਂ ਕਰਦੀ ਸੀ।

ਸਰੋਤ: opennet.ru