Após um ano de desenvolvimento, o projeto Nginx anunciou o lançamento de uma nova versão estável 1.30.0. No âmbito da preparação da versão estável, seis vulnerabilidades foram corrigidas, quatro das quais dizem respeito ao módulo de processamento de arquivos de mídia e protocolos de autenticação. A principal alteração foi o suporte ao HTTP/3 e QUIC, que agora é considerado pronto para ambientes de produção.
Vulnerabilidades corrigidas:
- CVE-2026-27654: Um estouro de buffer ao processar solicitações COPY ou MOVE em locais com a diretiva alias pode permitir que um invasor saia do diretório raiz do site.
- CVE-2026-27784: Um arquivo MP4 especialmente formatado pode causar a queda do processo de trabalho em plataformas de 32 bits.
- CVE-2026-27651: Um erro de segmentação no processo de trabalho ao usar os métodos de autenticação CRAM-MD5 ou APOP com tentativas de reautenticação ativadas.
- CVE-2026-28753: Uso de registros DNS PTR para injetar dados em solicitações auth_http e o comando XCLIENT em conexões SMTP de backend.
- CVE-2026-28755: Conclusão bem-sucedida SSL-do handshake, apesar da rejeição do certificado do cliente na verificação OCSP no módulo stream.
Outras inovações significativas:
- HTTP Early Hints (103): O servidor pode enviar cabeçalhos preliminares sem esperar pela geração completa da resposta pelo backend, acelerando o carregamento das páginas.
- Encrypted ClientHello (ECH): Uma função de privacidade do TLS que oculta o nome do site solicitado de observadores de rede.
- Sticky Sessions: A diretiva sticky no bloco upstream assegura a 'vinculação' das sessões do cliente a um determinado servidor backend.
- Multipath TCP (MPTCP): Suporte ao parâmetro multipath na diretiva listen para aumentar a resiliência e largura de banda no nível de transporte.
- Keep-Alive: O valor padrão de proxy_http_version foi alterado para 1.1, e o cabeçalho Connection não é mais enviado pelo proxy,servidoro que melhora o reaproveitamento das conexões.
- OpenSSL 4.0: Compatibilidade assegurada com a próxima versão principal da biblioteca criptográfica.
- geo-módulo: A diretiva include dentro do bloco geo agora suporta caracteres curinga.
Fonte: linux.org.ru
