Hlavná vetva nginx 1.31.2 bola vydaná a pokračuje vo vývoji nových funkcií. Vydáva sa aj paralelná stabilná vetva nginx 1.30.3, ktorá obsahuje iba zmeny súvisiace s opravou závažných chýb a zraniteľností. Tieto aktualizácie riešia tri zraniteľnosti:
- CVE-2026-42530 je zraniteľnosť typu „use-after-free“ v implementácii protokolu HTTP/3. Tejto chybe bola priradená kritická úroveň závažnosti (9.2 z 10), ktorá nevylučuje vzdialené spustenie kódu s oprávneniami pracovného procesu pri spracovaní špeciálne vytvorenej relácie QUIC.
- CVE-2026-42055 je pretečenie vyrovnávacej pamäte v moduloch ngx_http_proxy_v2_module a ngx_http_grpc_module, ku ktorému dochádza pri proxyovaní špeciálne vytvorených požiadaviek cez protokol HTTP/2 alebo do backendu gRPC. Problém je hodnotený ako kritický (9.2 z 10) a umožňuje vzdialené spustenie kódu. Zraniteľnosť sa prejavuje v konfiguráciách s nastavením
„ignore_invalid_headers off;“ a väčšiu hodnotu „large_client_header_buffers“. - CVE-2026-48142 – Pri spracovaní špeciálne vytvorených požiadaviek, ktoré vedú ku kódovaniu textu UTF-8 pomocou modulu ngx_http_charset_module, sa vyskytuje chyba čítania mimo hraníc. Táto zraniteľnosť sa vyskytuje v konfiguráciách s direktívou „charset_map“, keď sú v bloku location prítomné direktívy „source_charset utf-8“ a „charset other_charset“. Tento problém je hodnotený ako stredne závažný (6.3 z 10), čo umožňuje únik pamäte v pracovnom procese.
Okrem opráv zraniteľností pridáva nginx 1.31.2 premennú $ssl_sigalgs, ktorá obsahuje algoritmy digitálneho podpisu deklarované klientom v správe ClientHello počas vyjednávania TLS pripojenia. Na generovanie identifikátora odovzdávaného prostredníctvom premennej $request_id sa používa hašovací algoritmus SipHash-2-4.
Zdroj: opennet.ru
