Foi lançado o ramo principal do nginx 1.29.7, que continua a desenvolver novas funcionalidades, além da versão estável paralela do nginx 1.28.3, que inclui apenas correções para erros graves e vulnerabilidades. Nas atualizações, 6 vulnerabilidades foram corrigidas, três das quais levam a estouro de buffer. Quatro vulnerabilidades têm um nível de gravidade alto (8,8 ou 8,5 de 10).
- CVE-2026-27654 — estouro de buffer no módulo ngx_http_dav_module, que ocorre ao processar solicitações WebDAV COPY e MOVE quando utilizadas em blocos «location» da diretiva «alias». A vulnerabilidade permite modificar os caminhos dos arquivos para acessar fora do diretório base. O problema foi identificado usando o modelo de IA Claude.
- CVE-2026-27784, CVE-2026-32647 — estouros de buffer no módulo ngx_http_mp4_module que ocorrem ao processar arquivos mp4 especificamente formatados. Não se exclui que a exploração da vulnerabilidade não se limite a uma falha abrupta do processo.
- CVE-2026-27651 — desreferenciamento de ponteiro nulo com o uso incorreto dos métodos de autenticação CRAM-MD5 ou APOP.
- CVE-2026-28753 — possibilidade de manipulação de registros PTR no DNS para injetar dados do atacante em solicitações auth_http e no comando XCLIENT em uma conexão SMTP com o backend.
- CVE-2026-28755 — contornar a verificação OCSP do certificado no módulo stream.
Entre as mudanças não relacionadas à segurança no nginx 1.29.7
- Suporte ao protocolo Multipath TCP (MPTCP) foi adicionado, permitindo a entrega de pacotes simultaneamente por vários caminhos através de diferentes interfaces de rede. Para habilitar isso, foi adicionado o parâmetro «multipath» na diretiva «listen».
- Na diretiva «keepalive», utilizada no bloco «upstream», foi adicionado o parâmetro «local». Ao especificar esse parâmetro, em vez de compartilhar uma única conexão com um servidor upstream comum mencionado em diferentes blocos location e server, é mantida uma conexão separada para cada bloco com o upstream.
- No bloco «upstream», a diretiva «keepalive» foi ativada por padrão.
- Ao usar o modo proxy, a versão do protocolo HTTP/1.1 é definida por padrão, com o modo keep-alive ativado (no módulo ngx_http_proxy_module, o suporte ao keep-alive é habilitado por padrão e a diretiva proxy_http_version é definida como "1.1", desativando o envio do cabeçalho "Connection" por padrão). Para restaurar o comportamento anterior, que permite acessar backends que suportam apenas HTTP/1.0, devem ser configuradas as seguintes opções: proxy_http_version 1.0; proxy_set_header Connection "Close";
Fonte: opennet.ru
