Nginx 1.30.0

Efter ett års utveckling har projektet Nginx meddelat att den nya stabila versionen 1.30.0 har släppts. Under förberedelserna för den stabila versionen har sex säkerhetsbuggar åtgärdats, varav fyra rör modulen för bearbetning av mediafiler och autentiseringsprotokoll. En nyckelförändring är stödet för HTTP/3 och QUIC, vilket nu anses vara redo för produktionsmiljöer.

Åtgärdade sårbarheter:

• CVE-2026-27654: En buffertöverskridning vid hantering av COPY- eller MOVE-förfrågningar i en location med alias-direktivet kan möjliggöra för en angripare att gå utanför webbplatsens rotkatalog.
• CVE-2026-27784: En särskilt utformad MP4-fil kan orsaka en krasch av arbetsprocessen på 32-bits plattformar.
• CVE-2026-27651: En segmenteringsfel i arbetsprocessen vid användning av autentiseringmetoderna CRAM-MD5 eller APOP med aktiverad autentiseringsåterförsök.
• CVE-2026-28753: Användning av PTR DNS-poster för att injicera data i auth_http-förfrågningar och XCLIENT-kommandot i SMTP-anslutningen till backend.
• CVE-2026-28755: Framgångsrikt avslutande SSL-handshake trots avvisande av klientcertifikatet vid OCSP-kontrollen i stream-modulen.

Andra betydande nyheter:

• HTTP Early Hints (103): Servern kan skicka förhandsrubriker utan att vänta på att backend ska generera hela svaret, vilket snabbar upp sidladdningen.
• Encrypted ClientHello (ECH): TLS-integritetsfunktion som döljer namnet på den begärda webbplatsen från nätverksövervakare.
• Sticky Sessions: Direktivet sticky i upstream-blocket säkerställer 'bindning' av klientsessioner till en specifik servern backend.
• Multipath TCP (MPTCP): Stöd för multipath-parametern i listen-direktivet för att öka redundansen och bandbredden på transportskiktet.
• Keep-Alive: Standardvärdet för proxy_http_version har ändrats till 1.1, och Connection-rubriken skickas inte längre av proxyn,servernvilket förbättrar återanvändningen av anslutningar.
• OpenSSL 4.0: Kompatibilitet med den kommande stora versionen av kryptografibiblioteket har säkerställts.
• geo-modul: Include-direktivet inom geo-blocket stöder nu wildcard-tecken.

Källa: linux.org.ru