Bola vydaná hlavná vetva nginx 1.31.7, ktorá pokračuje vo vývoji nových funkcií. Vydáva sa aj paralelná stabilná vetva nginx 1.30.6, ktorá obsahuje iba zmeny súvisiace s opravou závažných chýb a zraniteľností. Tieto aktualizácie riešia päť zraniteľností:
- CVE-2026-15176 - Pri použití dochádza k pretečeniu vyrovnávacej pamäte
Direktívy „alias“ v konfiguráciách, ktoré menia URI požiadavky prostredníctvom direktívy
„prepísať“ s následným presmerovaním do súboru. - CVE-2026-93479 - Pri vykonávaní reťazcových výrazov s premennými dochádza k pretečeniu vyrovnávacej pamäte, ktoré sa prejavuje pri výpočte cesty ku koreňovému adresáru a pri zaznamenávaní požiadaviek do modulov http a stream.
- CVE-2026-95101 – obchádzanie obmedzenia „client_max_body_size“ a nahrádzanie údajov tretích strán do proxy požiadavky prenosom chybných rámcov v HTTP/3, ktorých časť obsahu mohla byť spracovaná ako telo požiadavky.
- CVE-2026-97629 – Falšovanie relácie TLS z dôvodu ponechania jedného z kľúčov relácie neinicializovaného počas rotácie.
- CVE-2026-97205 – Pri použití príkazov „include virtual“ na stránkach SSI v spojení s asynchrónnym I/O (AIO) existuje zraniteľnosť typu „use-after-free“.
Zmeny v nginx 1.31.7, ktoré nesúvisia so zraniteľnosťou:
- Do modulov ngx_http_geoip_module a ngx_stream_geoip_module bola pridaná podpora pre databázy vo formáte MaxMind (MMDB).
- Implementovaná možnosť kontroly podľa IP adresy SSL certifikáty, používaný v backende.
- Implementovaná možnosť prekonfigurovať a aktualizovať spustiteľný súbor pri použití direktívy quic_bpf v nastaveniach.
- Modul ngx_http_v2_module implementuje schému prioritizácie, ktorá je v súlade s RFC 9218.
Njs 1.0.2, modul na integráciu interpreta JavaScriptu do HTTP servera Nginx, je teraz k dispozícii. Njs umožňuje používanie skriptov JavaScriptu v konfiguračných súboroch na rozšírenie možností Nginxu. Skripty možno použiť na definovanie pokročilej logiky spracovania požiadaviek, generovanie konfigurácie, dynamické generovanie odpovedí, úpravu požiadaviek/odpovedí alebo rýchle vytváranie stubov na riešenie problémov vo webových aplikáciách. Kód projektu je napísaný v jazyku C a je distribuovaný pod licenciou BSD.
NJS 1.0.2 opravuje nasledujúce zraniteľnosti: vyčerpanie pamäte pri parsovaní chybne formátovaných XML dát (CVE-2026-101025) a porušenie overovania podpísaného XML dokumentu v dôsledku manipulácie s atribútmi XML (CVE-2026-101019). Boli pridané metódy XMLNode.getAttributeNS() a XMLNode.getChildNS(). Spotreba pamäte počas kompilácie v NJS engine bola znížená.
Zdroj: opennet.ru
