Wydano wydanie głównej gałęzi nginx 1.31.7, w ramach którego kontynuowany jest rozwój nowych możliwości oraz wydanie równolegle wspieranej stabilnej gałęzi nginx 1.30.6, do której wprowadzane są tylko zmiany związane z eliminowaniem poważnych błędów i luk w zabezpieczeniach. W aktualizacjach usunięto 5 luk bezpieczeństwa:
- CVE-2026-15176 — przepełnienie bufora, objawiające się podczas używania
dyrektywy „alias” w konfiguracjach, które zmieniają URI żądania za pomocą dyrektywy
„rewrite” z dalszym przekierowaniem na plik. - CVE-2026-93479 — przepełnienie bufora, występujące podczas wykonywania wyrażeń łańcuchowych z zmiennymi i objawiające się podczas obliczania ścieżki do katalogu głównego oraz przy logowaniu żądań w modułach http i stream.
- CVE-2026-95101 — obejście ograniczenia „client_max_body_size” oraz wstawianie zewnętrznych danych do przesyłanego żądania poprzez przekazywanie niepoprawnych ramek w HTTP/3, część zawartości których mogła być traktowana jako ciało żądania.
- CVE-2026-97629 — fałszerstwo sesji TLS z powodu pozostawienia jednego z kluczy sesji niezinicjowanego podczas rotacji.
- CVE-2026-97205 — dostęp do pamięci po jej zwolnieniu (use-after-free), występujący podczas używania na stronach SSI poleceń „include virtual” w połączeniu z zastosowaniem asynchronicznego wejścia/wyjścia (AIO).
Zmiany niezwiązane z lukami w nginx 1.31.7:
- W modułach ngx_http_geoip_module oraz ngx_stream_geoip_module dodano wsparcie dla baz danych w formacie MaxMind (MMDB).
- Wprowadzono możliwość weryfikacji po adresie IP certyfikatów SSL, używanych w backendzie.
- Wprowadzono możliwości rekonfiguracji i aktualizacji pliku wykonywalnego przy użyciu w ustawieniach dyrektywy quic_bpf.
- W module ngx_http_v2_module wprowadzono schemat priorytetyzacji, zgodny z RFC 9218.
Jednocześnie dostępna jest wersja njs 1.0.2, modułu do integracji interpreter języka JavaScript w serwerze http nginx. Njs pozwala na używanie skryptów JavaScript w plikach konfiguracyjnych w celu rozszerzenia możliwości nginx. Skrypty mogą być wykorzystywane do określenia zaawansowanej logiki przetwarzania żądań, formowania konfiguracji, dynamicznego generowania odpowiedzi, modyfikacji żądania/odpowiedzi lub szybkiego tworzenia stubów do rozwiązywania problemów w aplikacjach webowych. Kod projektu napisany jest w C i jest rozpowszechniany na licencji BSD.
W wydaniu njs 1.0.2 naprawiono luki: wyczerpanie dostępnej pamięci podczas analizy niepoprawnych danych XML (CVE-2026-101025) oraz naruszenie weryfikacji podpisanego dokumentu XML przez manipulację atrybutami XML (CVE-2026-101019). Dodano metody XMLNode.getAttributeNS() i XMLNode.getChildNS(). Zredukowano zużycie pamięci podczas kompilacji w silniku njs.
Źródło: opennet.ru
