Bol prvýkrát vydaná nová hlavná verzia nginx 1.21.0, v rámci ktorej sa bude pokračovať vo vývoji nových funkcií. Zároveň bol pripravený opravný vydanie paralelne podporovanej stabilnej verzie 1.20.1, v ktorej sú vykonávané len zmeny súvisiace s odstránením vážnych chýb a zraniteľností. V nasledujúcom roku na základe hlavnej vetvy 1.21.x vznikne stabilná verzia 1.22.
V nových verziách bola odstránená zraniteľnosť (CVE-2021-23017) v kóde pre riešenie názvov hostiteľov v DNS, ktorá môže viesť k pádu alebo potenciálne k vykonaniu kódu útočníka. Problém sa prejavuje spracovaním určitých odpovedí DNS servera, čo vedie k jednostránkovému pretečeniu vyrovnávacej pamäte. Zraniteľnosť sa prejavuje iba pri zapnutí v nastaveniach DNS rezolvéra pomocou direktívy „resolver“. Na vykonanie útoku musí útočník mať možnosť falšovať UDP pakety z DNS servera alebo získať kontrolu nad DNS serverom. Zraniteľnosť sa prejavuje od vydania nginx 0.6.18. Na odstránenie problému v starších vydaniach je možné použiť patch.
Zmeny v nginx 1.21.0, ktoré nesúvisia s bezpečnosťou:
- V direktívach „proxy_ssl_certificate“, „proxy_ssl_certificate_key“, „grpc_ssl_certificate“, „grpc_ssl_certificate_key“, „uwsgi_ssl_certificate“ a „uwsgi_ssl_certificate_key“ bola pridaná podpora premenných.
- Do poštového proxy modulu bola pridaná podpora „pipelining“ na prenášanie viacerých POP3 alebo IMAP požiadaviek v jednom spojení a bola pridaná nová direktíva „max_errors“, ktorá určuje maximálny počet chýb protokolu, po ktorých bude pripojenie uzavreté.
- Do modulu stream bol pridaný parameter „fastopen“, ktorý aktivuje režim „TCP Fast Open“ pre počúvajúce sokety.
- Riešené problémy s escapeovaním špeciálnych znakov pri automatickom presmerovaní s pridaním slashu na koniec.
- Riešený problém so zatváraním pripojení s klientmi pri použití SMTP pipelining.
Zdroj: opennet.ru
