Po roku vývoja projekt Nginx oznámil vydanie novej stabilnej vetvy 1.30.0. V rámci prípravy stabilnej verzie bolo opravených šesť zraniteľností, z ktorých štyri sa týkajú modulu spracovania mediálnych súborov a autentifikačných protokolov. Kľúčovou zmenou je podpora HTTP/3 a QUIC, ktorá sa teraz považuje za pripravenú na produkčné prostredie.
Opravené zraniteľnosti:
- CVE-2026-27654: Pretečenie vyrovnávacej pamäte pri spracovaní požiadaviek COPY alebo MOVE v location s direktívou alias môže umožniť útočníkovi vyjsť za hranice koreňového adresára webu.
- CVE-2026-27784: Úmyselne vytvorený MP4 súbor môže spôsobiť pád pracovného procesu na 32-bitových platformách.
- CVE-2026-27651: Chyba segmentácie v pracovnom procese pri použití metód autentifikácie CRAM-MD5 alebo APOP s povoleným opakovaním autentifikácie.
- CVE-2026-28753: Použitie PTR DNS záznamov na vkladanie údajov do auth_http požiadaviek a príkazu XCLIENT v SMTP spojení backendu.
- CVE-2026-28755: Úspešné dokončenie SSL-podania, napriek odmietnutiu klientského certifikátu pri OCSP kontrole v module stream.
Iné významné novinky:
- HTTP Early Hints (103): Server môže posielať predbežné hlavičky, nemusí čakať na úplnú generáciu odpovede backendom, čo zrýchľuje načítanie stránok.
- Encrypted ClientHello (ECH): Funkcia ochrany súkromia TLS, ktorá skrýva názov požadovanej stránky pred sieťovými pozorovateľmi.
- Sticky Sessions: Direktíva sticky v bloku upstream zabezpečuje "pripnutie" relácií klienta na konkrétny serveru backend.
- Multipath TCP (MPTCP): Podpora parametra multipath v direktíve listen na zvýšenie dostupnosti a priepustnosti na transportnej úrovni.
- Keep-Alive: Hodnota proxy_http_version sa predvolene zmenila na 1.1 a hlavička Connection sa už neposiela proxy-serverom, čo zlepšuje opätovné používanie spojení.
- OpenSSL 4.0: Zabezpečená kompatibilita s nadchádzajúcou hlavnou verziou kryptografickej knižnice.
- geo-modul: Direktíva include v bloku geo teraz podporuje wildcard znaky.
Zdroj: linux.org.ru
