Uppdateringar av nginx 1.26.3 och 1.27.4 för att åtgärda sårbarhet relaterad till TLS

Utgåvan av huvudgrenen nginx 1.27.4 har bildats, inom vilket arbetet med nya funktioner fortsätter, samt utgåvan av den parallellt stödjda stabila grenen nginx 1.26.3, där endast ändringar relaterade till att åtgärda allvarliga fel och sårbarheter görs. I uppdateringarna har en sårbarhet (CVE-2025-23419) åtgärdats som möjliggör att klientens TLS-certifikat kontrolleras.

Sårbarheten orsakas av bristen på adekvata kontroller vid hantering av virtuella värdar kopplade till en enskild IP-adress och portnummer, som väljs baserat på domännamnet angivet genom TLS-tillägget SNI vid HTTPS-anslutningar. I sådana konfigurationer kunde en angripare återanvända en TLS-session i kontexten av en annan virtuell värd för att kringgå autentisering med klientens TLS-certifikat. Problemet uppstår i konfigurationer som stöder återupptagning av TLS-sessioner med hjälp av "TLS session ticket" eller använder TLS-sessioncache i inställningarna. servern som standard, där autentisering görs med klientens TLS-certifikat. Sårbarheten finns från och med version nginx 1.11.4 när den kompileras med OpenSSL och TLSv1.3-protokollet är aktiverat.

Icke-säkerhetsrelaterade ändringar:

• Möjligheter har lagts till för att minska resursförbrukningen och belastningen på CPU:n vid användning av TLS i konfigurationer med ett stort antal block av server och plats. De tillagda förändringarna gör det möjligt att i stället för att skapa en separat SSL-kontakt (SSL_CTX i OpenSSL) för varje konfigurationsblock använda den redan befintliga SSL-kontakten från föräldern.
• Problemen med långsammare laddning av konfigurationsfiler på grund av omparsing av samma uppsättning TLS-certifikat, nycklar och listor över certifikatutfärdare har lösts. Konfigurationens omstart har snabba i och med återanvändning av oförändrade TLS-objekt såsom certifikat, nycklar och CRL. För att inaktivera arv av objekt vid uppdatering av konfigurationen har direktivet "ssl_object_cache_inheritable" lagts till.
• En cache för certifikat och nycklar som laddas med hjälp av variabler i direktiven (t.ex. "ssl_certificate /etc/ssl/$ssl_server_name.crt") har lagts till. För att hantera cachen har direktiven "ssl_certificate_cache", "proxy_ssl_certificate_cache", "grpc_ssl_certificate_cache" och "uwsgi_ssl_certificate_cache" lagts till. Genom de angivna direktiven kan du konfigurera maximal cachestorlek, giltighetstid för poster och tid för rensning av oanvända poster. Till exempel: "ssl_certificate_cache max=1000 inactive=20s valid=1m;".
• Direktivet "keepalive_min_timeout" har lagts till, vilket definierar timeouten under vilken nginx inte kommer att stänga keep-alive-anslutningen med klienten.
• Problemet med meddelanden i loggen "gzip filter failed to use preallocated memory" vid kompilering med zlib-ng-biblioteket har lösts.
• Problemet med kompilering av libatomic-biblioteket har lösts när byggalternativet "--with-libatomic=DIR" används.
• Ett fel har åtgärdats som gjorde det omöjligt att upprätta en anslutning via QUIC-protokollet vid användning av 0-RTT.
• Det har säkerställts att versionsförfrågningar om QUIC som kommer från klienter ignoreras.
• Problemen med byggandet i Solaris 10 med modulen ngx_http_v3_module har åtgärdats.
• Fel i implementeringen av HTTP/3 har åtgärdats.

Källa: opennet.ru