Foi lançado o primeiro release da nova versão principal do nginx 1.21.0, que continuará a desenvolver novas funcionalidades. Simultaneamente, foi preparado um release corretivo para a versão estável 1.20.1, que só inclui alterações relacionadas à correção de erros sérios e vulnerabilidades. No próximo ano, uma nova versão estável 1.22 será baseada na versão principal 1.21.x.
As novas versões corrigiram uma vulnerabilidade (CVE-2021-23017) no código para resolução de nomes de hosts no DNS, que pode levar à falha ou potencialmente à execução de código por um atacante. O problema se manifesta no processamento de certas respostas do servidor DNS, levando a um estouro de buffer de um byte. A vulnerabilidade aparece apenas quando a configuração do resolvedor DNS é ativada através da diretiva 'resolver'. Para realizar o ataque, o invasor deve ser capaz de falsificar pacotes UDP do servidor DNS ou obter controle sobre o servidor DNS. A vulnerabilidade existe desde o release do nginx 0.6.18. Para resolver o problema em versões antigas, pode-se usar um patch.
Mudanças no nginx 1.21.0 que não estão relacionadas à segurança:
- Nas diretivas "proxy_ssl_certificate", "proxy_ssl_certificate_key", "grpc_ssl_certificate", "grpc_ssl_certificate_key", "uwsgi_ssl_certificate" e "uwsgi_ssl_certificate_key", foi adicionada a compatibilidade com variáveis.
- O módulo proxy de email agora suporta 'pipelining' para enviar várias solicitações POP3 ou IMAP em uma única conexão, e uma nova diretiva 'max_errors' foi adicionada para definir o número máximo de erros de protocolo após o qual a conexão será encerrada.
- O módulo stream adicionou o parâmetro «fastopen», que ativa o modo «TCP Fast Open» para sockets de escuta.
- Resolvidos problemas de escape de caracteres especiais durante o redirecionamento automático ao adicionar uma barra no final.
- Resolvido o problema de fechamento de conexões com clientes ao usar SMTP pipelining.
Fonte: opennet.ru
