Posodobitev nginx 1.31.7 in njs 1.0.2 s odpravo ranljivosti

Izdan je bil glavni posodobitveni paket nginx 1.31.7, v okviru katerega se nadaljuje razvoj novih funkcionalnosti, poleg tega pa se izda tudi vzporedno podprta stabilna različica nginx 1.30.6, v katero se vnašajo le spremembe, povezane z odpravo resnih napak in ranljivosti. V posodobitvah je odprtih 5 ranljivosti:

• CVE-2026-15176 — prenapolnitev pomnilnika, ki se kaže pri uporabi
  direktive „alias“ v konfiguracijah, ki spreminjajo URI zahtevka preko direktive
  „rewrite“ s nadaljnjim preusmerjanjem na datoteko.
• CVE-2026-93479 — prenapolnitev pomnilnika, ki nastane pri izvajanju nizov z spremenljivkami in se kaže pri izračunu poti do korenskega direktorija ter pri beleženju zahtevkov v modulih http in stream
• CVE-2026-95101 — obhod omejitve „client_max_body_size“ in vstavljanje tujih podatkov v posredovani zahtevek preko predaje neveljavnih okvirjev v HTTP/3, del vsebine katerih je lahko obdelan kot telo zahtevka.
• CVE-2026-97629 — ponarejanje TLS-sejšonov zaradi tega, ker je bilo eno izmed sebojskih ključev nepripravljeno med rotacijo.
• CVE-2026-97205 — dostop do pomnilnika po njegovi sprostitvi (use-after-free), ki nastane pri uporabi ukazov „include virtual“ na SSI-stranicah v kombinaciji z uporabo asinhronega vnosa/izvoda (AIO).

Nerazlične spremembe v nginx 1.31.7, ki niso povezane z ranljivostmi:

• V module ngx_http_geoip_module in ngx_stream_geoip_module je bila dodana podpora za baze podatkov v formatu MaxMind (MMDB).
• Možnost preverjanja po IP-naslovu je bila implementirana SSL-certifikatov, ki se uporablja v backendu.
• Implementirane so možnosti ponastavitve in posodobitve izvršljive datoteke pri uporabi v nastavitvah direktive quic_bpf.
• V modulu ngx_http_v2_module je bila uvedena shema razporeditve prioritet, ki ustreza RFC 9218.

Hkrati je na voljo različica njs 1.0.2, modula za integracijo interpreterja jezika JavaScript v http-strežnik nginx. Njs omogoča uporabo JavaScript skript v konfiguracijskih datotekah za razširitev funkcionalnosti nginx. Skripti se lahko uporabljajo za določitev razširjene logike obdelave zahtevkov, oblikovanje konfiguracij, dinamično generiranje odgovorov, modifikacijo zahtevkov/odgovorov ali hitro ustvarjanje vmesnikov za reševanje težav v web-aplikacijah. Koda projekta je napisana v jeziku C in se distribuira pod licenco BSD.

V izdaji njs 1.0.2 so odpravljene ranljivosti: izčrpavanje razpololjive pomnilnika pri razumevanju neustreznih XML-podatkov (CVE-2026-101025) in kršitev preverjanja podpisanega XML-dokumenta preko manipulacije z XML-atributi (CVE-2026-101019). Dodane so metode XMLNode.getAttributeNS() in XMLNode.getChildNS(). Zmanjšana je poraba pomnilnika pri prevajanju v motorju njs.

Izvor: opennet.ru