Foi publicado o lançamento da versão principal do nginx 1.29.8, onde continuam os avanços nas novas funcionalidades. Na versão estável suportada paralelamente 1.28.x, são feitas apenas alterações relacionadas à correção de erros graves e vulnerabilidades. No futuro, uma versão estável 1.30 será formada com base na versão principal 1.29.x. O código do projeto é escrito em C e é distribuído sob a licença BSD.
No novo lançamento:
- Adicionada a diretiva max_headers, que limita o número máximo de cabeçalhos HTTP em uma solicitação. Se o limite for excedido, um erro 400 (Bad Request) é retornado. Esta funcionalidade foi transferida do FreeNginx.
- Compatibilidade assegurada com a biblioteca OpenSSL 4.0, que está em fase de teste alfa.
- Permitido o uso de máscaras na diretiva 'include', especificada dentro do bloco 'geo'.
- Corrigido um erro no processamento de respostas HTTP com código 103 (Early Hints), que são retornadas pelo backend proxy.
- Eliminado o não envio das variáveis $request_port e $is_request_port em subsolicitações.
Adicionalmente, pode-se destacar a publicação do lançamento do projeto FreeNginx 1.29.8, que desenvolve o fork do Nginx. O desenvolvimento do fork é conduzido por Maxim Dunin, um dos principais desenvolvedores do Nginx. O FreeNginx é posicionado como um projeto sem fins lucrativos, que assegura o desenvolvimento da base de código do Nginx sem intervenção corporativa. O código do FreeNginx continua a ser fornecido sob a licença BSD. Na nova versão, foi garantida a compatibilidade com o OpenSSL 4.0. Eliminada uma vulnerabilidade de estouro de buffer (CVE-2026-27654) no módulo ngx_http_dav_module, que ocorre durante o processamento de solicitações WebDAV COPY e MOVE ao usar a diretiva 'alias' em blocos de 'location'. Eliminada a possibilidade de manipulação de registros PTR no DNS para inserir dados do atacante (CVE-2026-28753) em solicitações auth_http e no comando XCLIENT em uma conexão SMTP com o backend.
Fonte: opennet.ru
