Foi lançado o release principal da versão nginx 1.23.2, na qual continua o desenvolvimento de novas funcionalidades, além da versão estável paralela 1.22.1 do nginx, que recebe apenas alterações relacionadas à correção de falhas graves e vulnerabilidades.
Nas novas versões, duas vulnerabilidades (CVE-2022-41741, CVE-2022-41742) foram corrigidas no módulo ngx_http_mp4_module, utilizado para streaming de arquivos no formato H.264/AAC. As vulnerabilidades podem levar a corrupção de memória ou vazamento de conteúdo de memória ao processar um arquivo mp4 especialmente formatado. Entre as consequências mencionadas está a falha no processo de trabalho, mas outras manifestações, como a execução de código, também não podem ser descartadas. servidor.
É notável que uma vulnerabilidade semelhante foi corrigida no módulo ngx_http_mp4_module em 2012. Além disso, a empresa F5 relatou uma vulnerabilidade semelhante (CVE-2022-41743) no produto NGINX Plus, que afeta o módulo ngx_http_hls_module, responsável pelo suporte ao protocolo HLS (Apple HTTP Live Streaming).
Além da correção das vulnerabilidades, as seguintes alterações foram propostas no nginx 1.23.2:
- Foi adicionada a suporte a variáveis " $proxy_protocol_tlv_* ", nas quais são gravados os valores dos campos TLV (Type-Length-Value) presentes no protocolo Type-Length-Value PROXY v2.
- A rotação automática de chaves de criptografia para tickets de sessão TLS foi implementada, utilizada quando a memória compartilhada é aplicada na diretiva ssl_session_cache.
- O nível de log para erros relacionados a tipos de registro incorretos SSLfoi reduzido de crítico para informativo.
- O nível de log para mensagens de impossibilidade de alocar memória para uma nova sessão foi alterado de alert para warn e limitado à exibição de uma mensagem por segundo.
- Na plataforma Windows, foi realizada a compilação com OpenSSL 3.0.
- Foi implementado o registro em log de erros do protocolo PROXY.
- Foi resolvido um problema que impedia que o tempo limite especificado na diretiva "ssl_session_timeout" funcionasse ao usar TLSv1.3 com OpenSSL ou BoringSSL.
Fonte: opennet.ru
