Uppdatering av nginx 1.22.1 och 1.23.2 med åtgärder mot sårbarheter

Versionen av huvudgrenen nginx 1.23.2 har släppts, där utvecklingen av nya funktioner fortsätter, samt släppet av den parallellt underhållna stabila grenen nginx 1.22.1, som endast får ändringar relaterade till åtgärdande av allvarliga fel och sårbarheter.

I de nya versionerna har två sårbarheter (CVE-2022-41741, CVE-2022-41742) i ngx_http_mp4_module åtgärdats, som används för att strömma från filer i formatet H.264/AAC. Sårbarheterna kan leda till minneskorruption eller minnesläckor vid behandling av en speciellt utformad mp4-fil. Följderna inkluderar kraschar, men andra manifestationer, såsom möjligheten att köra kod på servern.

Det är värt att notera att en liknande sårbarhet redan åtgärdades i ngx_http_mp4_module 2012. Dessutom har F5 rapporterat om en liknande sårbarhet (CVE-2022-41743) i produkten NGINX Plus, som påverkar ngx_http_hls_module, vilket ger stöd för HLS-protokollet (Apple HTTP Live Streaming).

Förutom åtgärdandet av sårbarheterna i nginx 1.23.2 erbjuds följande förändringar:

• Stöd för variablerna "$proxy_protocol_tlv_*" har lagts till, där värdena för TLV (Type-Length-Value), som förekommer i PROXY v2-protokollet, skrivs.
• Automatisk rotation av krypteringsnycklar för TLS-sessionstickets, som används när delad minne används i direktivet ssl_session_cache, har implementerats.
• Loggnivån för fel relaterade till felaktiga typ av poster SSL, har sänkts från kritisk till informationsnivå.
• Loggnivån för meddelanden om misslyckande att allokera minne för en ny session har ändrats från alert till warn och begränsats till att visa en post per sekund.
• En build med OpenSSL 3.0 har implementerats på Windows-plattformen.
• En registrering av fel i PROXY-protokollet har implementerats i loggen.
• Ett problem har åtgärdats där timeouten som anges i direktivet "ssl_session_timeout" inte fungerade vid användning av TLSv1.3 baserat på OpenSSL eller BoringSSL.

Källa: opennet.ru