Bol spustený výstup hlavnej vetvy nginx 1.29.7, v ktorej sa pokračuje vo vývoji nových možností, ako aj v súbežnom vydaní stabilnej vetvy nginx 1.28.3, do ktorej sa zavádzajú iba zmeny týkajúce sa odstránenia závažných chýb a zraniteľností. V aktualizáciách bolo opravených 6 zraniteľností, z ktorých tri vedú k pretečeniu bufferu. Štyrom zraniteľnostiam bol priradený vysoký stupeň nebezpečenstva (8.8 alebo 8.5 z 10).
- CVE-2026-27654 — pretečenie bufferu v module ngx_http_dav_module, ktoré sa vyskytuje pri spracovaní požiadaviek WebDAV COPY a MOVE pri použití v blokoch „location“ smernice „alias“. Zraniteľnosť umožňuje zmeniť cesty k súborom tak, aby sa týkali mimo základného adresára. Problém bol identifikovaný pri použití AI modelu Claude.
- CVE-2026-27784, CVE-2026-32647 — pretečenia bufferov v module ngx_http_mp4_module, ktoré sa vyskytujú pri spracovaní špeciálne upravených súborov mp4. Nie je vylúčené, že využitie zraniteľnosti nezostáva obmedzené na havarovanie pracovného procesu.
- CVE-2026-27651 — dereferencovanie nulového ukazovateľa pri nesprávnom použití metód autentifikácie CRAM-MD5 alebo APOP.
- CVE-2026-28753 — možnosť manipulácie s PTR záznamami v DNS na vkladanie údajov útočníka do požiadaviek auth_http a príkazu XCLIENT v SMTP pripojení k backendu.
- CVE-2026-28755 — obídenie výsledku OCSP kontroly certifikátu v module stream.
Medzi nezabezpečené zmeny v nginx 1.29.7
- Pridaná podpora protokolu Multipath TCP (MPTCP), ktorý umožňuje súčasné doručovanie paketov viacerými smermi cez rôzne sieťové rozhrania. Pre aktiváciu sa do direktívy „listen“ pridala voľba „multipath“.
- Do smernice „keepalive“, používané v bloku „upstream“, bol pridaný parameter „local“. Pri zadaní tohto parametra, namiesto zdieľania jedného pripojenia k spoločnému upstream serveru, spomínanému v rôznych blokoch location a server, sa pre každý blok udržuje samostatné pripojenie k upstream.
- V bloku „upstream“ bola predvolene aktivovaná smernica „keepalive“.
- Pri použití v režime proxy je predvolene nastavená verzia protokolu HTTP/1.1 s povolením režimu keep-alive (v module ngx_http_proxy_module je predvolene povolená podpora keep-alive a je nastavená hodnota „1.1“ v smernici „proxy_http_version“ a zastavené odosielanie predvolenej hlavičky „Connection“). Ak chcete obnoviť staré správanie, ktoré umožňuje prístup k backendom podporujúcim iba HTTP/1.0, je potrebné nastaviť tieto konfigurácie: proxy_http_version 1.0; proxy_set_header Connection „Close“;
Zdroj: opennet.ru
