Uppdatera nginx 1.31.7 och njs 1.0.2 med säkerhetsåtgärder

Huvudgrenen nginx 1.31.7 har släppts, vilket fortsätter utvecklingen av nya funktioner. Den parallella stabila grenen, nginx 1.30.6, släpps också och innehåller endast ändringar relaterade till att åtgärda allvarliga buggar och sårbarheter. Dessa uppdateringar åtgärdar fem sårbarheter:

• CVE-2026-15176 – Buffertspill uppstår när man använder
  "alias"-direktiv i konfigurationer som ändrar begäran-URI:n via ett direktiv
  "skriv om" med efterföljande omdirigering till filen.
• CVE-2026-93479 – Ett buffertöverskott uppstår när stränguttryck med variabler körs och manifesterar sig vid beräkning av sökvägen till rotkatalogen och vid loggning av förfrågningar i http- och stream-modulerna.
• CVE-2026-95101 — kringgår begränsningen "client_max_body_size" och ersätter tredjepartsdata i en proxybegäran genom att skicka felaktigt utformade ramar i HTTP/3, vars innehåll en del kan bearbetas som begäran.
• CVE-2026-97629 - TLS-sessionsförfalskning på grund av att en av sessionsnycklarna lämnades oinitierad under rotation.
• CVE-2026-97205 – En sårbarhet av typen use-after-free finns när kommandon av typen "include virtual" används i SSI-sidor i samband med asynkron I/O (AIO).

Icke-sårbarhetsrelaterade ändringar i nginx 1.31.7:

• Stöd för databaser i MaxMind-format (MMDB) har lagts till i modulerna ngx_http_geoip_module och ngx_stream_geoip_module.
• Implementerade möjligheten att kontrollera via IP-adress SSL-certifikat, som används i backend-systemet.
• Implementerade möjligheten att omkonfigurera och uppdatera den körbara filen när quic_bpf-direktivet används i inställningarna.
• Modulen ngx_http_v2_module implementerar ett prioriteringsschema som följer RFC 9218.

Njs 1.0.2, en modul för att integrera en JavaScript-tolk i Nginx HTTP-server, är nu tillgänglig. Njs möjliggör användning av JavaScript-skript i konfigurationsfiler för att utöka Nginx funktioner. Skript kan användas för att definiera avancerad logik för förfrågningsbehandling, generera konfiguration, dynamiskt generera svar, modifiera förfrågningar/svar eller snabbt skapa stubbar för att lösa problem i webbapplikationer. Projektkoden är skriven i C och distribueras under BSD-licensen.

NJS 1.0.2 åtgärdar följande sårbarheter: minnesutmattning vid parsning av felaktigt formaterad XML-data (CVE-2026-101025) och ett brott mot valideringen av signerade XML-dokument på grund av manipulation av XML-attribut (CVE-2026-101019). Metoderna XMLNode.getAttributeNS() och XMLNode.getChildNS() har lagts till. Minnesförbrukningen under kompilering i NJS-motorn har minskats.

Källa: opennet.ru