Foi lançado o ramo principal do nginx 1.25.4, que continua o desenvolvimento de novas funcionalidades. No ramo estável suportado paralelamente 1.24.x, apenas alterações relacionadas à correção de erros graves e vulnerabilidades são feitas. No futuro, será formado um ramo estável 1.26 com base no ramo principal 1.25.x. O código do projeto é escrito em C e distribuído sob a licença BSD.
Na nova versão, duas vulnerabilidades foram corrigidas no módulo experimental http_v3_module (desativado por padrão), que proporciona suporte ao protocolo HTTP/3, utilizando o protocolo QUIC como transporte para HTTP/2. A primeira vulnerabilidade (CVE-2024-24989) é causada pela desreferenciação de um ponteiro nulo, enquanto a segunda (CVE-2024-24990) refere-se a acessar memória após sua liberação. A lista de alterações afirma que ambas as vulnerabilidades podem levar apenas a um encerramento inesperado do processo ao processar sessões QUIC especificamente formatadas, mas parece que para a segunda vulnerabilidade não foi realizada uma análise dos possíveis impactos mais sérios.
Além da correção das vulnerabilidades, a nova versão também traz melhorias gerais e correções na implementação do HTTP/3, assim como a resolução de erros relacionados a vazamentos de soquetes, erros de soquetes ou falhas ao utilizar AIO. Problemas com o fechamento prematuro das conexões durante operações AIO não concluídas durante o encerramento suave de processos antigos foram resolvidos. Foi corrigido um encerramento inesperado ao redirecionar erros com código 415 usando a diretiva error_page, no caso de uso de SSL-proxying e da diretiva image_filter.
Além disso, há poucos dias, foi lançado o njs 0.8.4, um interpretador da linguagem JavaScript para servidor web nginx. O interpretador njs implementa os padrões ECMAScript e permite expandir as capacidades do nginx em lidar com requisições por meio de scripts na configuração. Scripts podem ser utilizados no arquivo de configuração para definir lógica de processamento de requisições, gerar configurações, responder dinamicamente, modificar requisições/respostas ou criar rapidamente placeholders para solucionar problemas em aplicações web. Na nova versão, apenas correções de bugs foram destacadas.
Fonte: opennet.ru
