Bola vydaná hlavná verzia nginx 1.23.2, v ktorej pokračuje vývoj nových funkcií a zároveň je vydaná paralelne podporovaná stabilná verzia nginx 1.22.1, do ktorej sú zavádzané iba zmeny súvisiace s odstránením vážnych chýb a zraniteľností.
V nových verziách boli odstránené dve zraniteľnosti (CVE-2022-41741, CVE-2022-41742) v module ngx_http_mp4_module, ktorý sa používajú na organizáciu streamovania z súborov vo formáte H.264/AAC. Zraniteľnosti môžu viesť k poškodeniu pamäte alebo úniku obsahu pamäte pri spracovaní špeciálne formátovaného súboru vo formáte mp4. Medzi následky patrí havarijné ukončenie pracovného procesu, ale nevylučujú sa ani iné prejavy, ako je realizácia kódu na serveri.
Je pozoruhodné, že podobná zraniteľnosť už bola odstránená v module ngx_http_mp4_module v roku 2012. Okrem toho spoločnosť F5 oznámila podobnú zraniteľnosť (CVE-2022-41743) v produkte NGINX Plus, ktorá sa týka modulu ngx_http_hls_module zabezpečujúceho podporu protokolu HLS (Apple HTTP Live Streaming).
Okrem odstránenia zraniteľností v nginx 1.23.2 sú navrhnuté nasledujúce zmeny:
- Pridaná podpora premenných „$proxy_protocol_tlv_*“, do ktorých sa zapisujú hodnoty polí TLV (Type-Length-Value), nachádzajúcich sa v protokole Type-Length-Value PROXY v2.
- Zabezpečená automatická rotácia šifrovacích kľúčov pre sedenia TLS, používaná pri využívaní zdieľanej pamäte v direktíve ssl_session_cache.
- Úroveň logovania pre chyby súvisiace s nesprávnym typom záznamov SSL, bola znížená z kritickej na informačnú úroveň.
- Úroveň logovania pre správy o nemožnosti alokovať pamäť pre nové sedenie bola zmenená z alert na warn a bola obmedzená na výstup jednej správy za sekundu.
- Na platforme Windows bola nastavená kompilácia s OpenSSL 3.0.
- Bolo nastavené odrážanie v logoch chýb protokolu PROXY.
- Bola odstránená chyba, kvôli ktorej pri použití TLSv1.3 na báze OpenSSL alebo BoringSSL nefungoval timeout uvedený v direktíve „ssl_session_timeout“.
Zdroj: opennet.ru
