{"id":166097,"date":"2026-03-25T11:12:50","date_gmt":"2026-03-25T09:12:50","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej"},"modified":"2026-03-25T11:12:50","modified_gmt":"2026-03-25T09:12:50","slug":"obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej","title":{"rendered":"Atualiza\u00e7\u00f5es do nginx 1.29.7 e 1.28.3 corrigindo 6 vulnerabilidades","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Foi lan\u00e7ado o ramo principal do nginx 1.29.7, que continua a desenvolver novas funcionalidades, al\u00e9m da vers\u00e3o est\u00e1vel paralela do nginx 1.28.3, que inclui apenas corre\u00e7\u00f5es para erros graves e vulnerabilidades. Nas atualiza\u00e7\u00f5es, 6 vulnerabilidades foram corrigidas, tr\u00eas das quais levam a estouro de buffer. Quatro vulnerabilidades t\u00eam um n\u00edvel de gravidade alto (8,8 ou 8,5 de 10). <\/p>\n
\n
CVE-2026-27654 \u2014 estouro de buffer no m\u00f3dulo ngx_http_dav_module, que ocorre ao processar solicita\u00e7\u00f5es WebDAV COPY e MOVE ao usar nos blocos \u00ablocation\u00bb a diretiva \u00abalias\u00bb. A vulnerabilidade permite alterar caminhos de arquivos para acessar al\u00e9m do diret\u00f3rio base. O problema foi identificado com o uso do modelo de IA Claude.\n
CVE-2026-27784, CVE-2026-32647 \u2014 estouros de buffer no m\u00f3dulo ngx_http_mp4_module, que ocorrem ao processar arquivos mp4 especialmente formatados. N\u00e3o se pode descartar que a explora\u00e7\u00e3o da vulnerabilidade n\u00e3o se limite \u00e0 falha do processo.\n
CVE-2026-27651 \u2014 desreferenciamento de ponteiro nulo ao usar incorretamente os m\u00e9todos de autentica\u00e7\u00e3o CRAM-MD5 ou APOP.\n
CVE-2026-28753 \u2014 possibilidade de manipula\u00e7\u00e3o de registros PTR no DNS para inserir dados do atacante em consultas auth_http e no comando XCLIENT em uma conex\u00e3o SMTP com o backend.\n
CVE-2026-28755 \u2014 contorno do resultado da verifica\u00e7\u00e3o OCSP do certificado no m\u00f3dulo stream. <\/ul>\n
Entre as mudan\u00e7as n\u00e3o relacionadas \u00e0 seguran\u00e7a no nginx 1.29.7 <\/p>\n
\n
Foi adicionada a suporte ao protocolo Multipath TCP (MPTCP), que permite a entrega de pacotes simultaneamente por v\u00e1rios caminhos atrav\u00e9s de diferentes interfaces de rede. Para habilitar, foi adicionado o par\u00e2metro 'multipath' \u00e0 diretiva 'listen'.\n
Na diretiva \u00abkeepalive\u00bb, usada no bloco \u00abupstream\u00bb, foi adicionado o par\u00e2metro \u00ablocal\u00bb. Ao especificar esse par\u00e2metro, em vez de compartilhar uma conex\u00e3o para o servidor upstream comum mencionado em diferentes blocos location e server, cada bloco mant\u00e9m uma conex\u00e3o separada com o upstream.\n
No bloco \u00abupstream\u00bb, a diretiva \u00abkeepalive\u00bb \u00e9 ativada por padr\u00e3o.\n
Ao usar no modo proxy, a vers\u00e3o do protocolo HTTP\/1.1 com modo keep-alive \u00e9 definida por padr\u00e3o (no m\u00f3dulo ngx_http_proxy_module, o suporte ao keep-alive \u00e9 ativado por padr\u00e3o e o valor \u00ab1.1\u00bb \u00e9 definido na diretiva \u00abproxy_http_version\u00bb, e o envio do cabe\u00e7alho \u00abConnection\u00bb \u00e9 descontinuado por padr\u00e3o). Para retornar ao comportamento anterior, que permite acessar backends que suportam apenas HTTP\/1.0, devem ser definidas as configura\u00e7\u00f5es: proxy_http_version 1.0; proxy_set_header Connection \u00abClose\u00bb; <\/ul>\n