A fost lansată versiunea principală a nginx 1.31.7, în cadrul căreia continuă dezvoltarea unor noi funcționalități, precum și lansarea versiunii stabile nginx 1.30.6, care primește doar modificări legate de eliminarea erorilor grave și a vulnerabilităților. În actualizări au fost eliminate 5 vulnerabilități:
- CVE-2026-15176 — depășirea bufferului, care apare în utilizarea
directivei „alias” în configurațiile care modifică URI-ul cererii prin directiva
„rewrite” cu redirecționare ulterioare către un fișier. - CVE-2026-93479 — depășirea bufferului, care apare la executarea expresiilor de tip string cu variabile și se manifestă în calcularea căii către directorul rădăcină și în logarea cererilor în modulele http și stream.
- CVE-2026-95101 — o ocolire a limitării „client_max_body_size” și inserarea de date externe în cererea proxy prin transmiterea unor cadre incorecte în HTTP/3, parte din conținutul cărora ar fi putut fi procesat ca corp al cererii.
- CVE-2026-97629 — falsificarea sesiunilor TLS din cauza lăsării uneia dintre cheile de sesiune neinițializată în timpul rotației.
- CVE-2026-97205 — accesarea memoriei după eliberare (use-after-free), care apare la utilizarea pe paginile SSI a comenzilor „include virtual” împreună cu utilizarea intrării/ieșirii asincrone (AIO).
Modificări nespecificate în legătură cu vulnerabilitățile în nginx 1.31.7:
- Modulele ngx_http_geoip_module și ngx_stream_geoip_module au fost adăugate suport pentru baza de date în format MaxMind (MMDB).
- A fost implementată posibilitatea de verificare prin adresă IP certificatelor SSL, utilizate în backend.
- Au fost realizate capacități de reconfigurare și actualizare a fișierului executabil atunci când se folosește în setările directivei quic_bpf.
- În modul ngx_http_v2_module a fost implementat un plan de prioritizare, conform RFC 9218.
În același timp, este disponibilă versiunea njs 1.0.2, un modul pentru integrarea interpretului JavaScript în serverul http nginx. Njs permite utilizarea scripturilor JavaScript în fișierele de configurare pentru a extinde funcționalitățile nginx. Scripturile pot fi utilizate pentru a defini o logică extinsă de procesare a cererilor, pentru a genera configurația, pentru a crea dinamic răspunsuri, pentru a modifica cererea/răspunsul sau pentru a crea rapid mock-uri pentru soluționarea problemelor din aplicațiile web. Codul proiectului este scris în C și este distribuit sub licența BSD.
În versiunea njs 1.0.2 au fost remediate vulnerabilitățile: epuizarea memoriei disponibile în timpul procesării datelor XML incorecte (CVE-2026-101025) și încălcarea verificării unui document XML semnat prin manipularea atributelor XML (CVE-2026-101019). Au fost adăugate metodele XMLNode.getAttributeNS() și XMLNode.getChildNS(). A fost redus consumul de memorie în timpul compilării în motorul njs.
Sursa: opennet.ro
