Den nya versionen av nginx 1.27.0 har åtgärdat 4 sårbarheter i implementeringen av HTTP/3

Den första versionen av den nya huvudgrenen nginx 1.27.0 har presenterats, där utvecklingen av nya funktioner kommer att fortsätta. Samtidigt har versionen nginx 1.26.1 skapats, som tillhör den parallellt stödda stabila grenen, där endast förändringar relaterade till åtgärder av allvarliga fel och sårbarheter görs. Under nästa år kommer en stabil gren 1.28 att skapas baserat på huvudgrenen 1.27.x. Projektkoden är skriven i C och distribueras under BSD-licensen.

I de nya versionerna har fyra sårbarheter åtgärdats som berör den experimentella modulen ngx_http_v3 (avstängd som standard), som ger stöd för HTTP/3-protokollet som använder QUIC-protokollet som transport för HTTP/2. Problemen uppstår endast vid aktivering av modulen ngx_http_v3_module och när alternativet "quic" anges i direktiven "listen". Det finns för närvarande inga rapporter om sårbarheter i forkena Angie och FreeNginx.

Sårbarheten CVE-2024-34161 leder till läckage av minnesinnehåll från arbetsprocessen på system med MTU som är ställt in på mer än 4096 byte. Läckaget av minnesinnehåll uppstår när CRYPTO-ramar som används för att förhandla om anslutningen skickas efter att klienten har skickat det avslutande meddelandet.

Sårbarheterna CVE-2024-31079, CVE-2024-32760 och CVE-2024-35200 orsakas av minnesskador och tillåter en fjärrangripare att få nginx-processen att krascha genom att ställa in en särskilt utformad session baserad på QUIC-protokollet. För sårbarheterna CVE-2024-31079 och CVE-2024-32760 utesluts inte heller andra konsekvenser av attacken (möjligheten till angriparens kodexekvering?). Detaljer ges inte men det verkar av kodfixarna som om sårbarheterna orsakas av åtkomst till redan frigjord minne (use-after-free), felaktig minnesallokering för en array, avdereferering av en nullpekare och bristande kontroll av storleken på de data som placeras i bufferten.

Bland förändringar i nginx 1.27.0 som inte är relaterade till åtgärdande av sårbarheter:

• I direktiven "proxy_limit_rate", "fastcgi_limit_rate", "scgi_limit_rate" och "uwsgi_limit_rate" har stöd för att ange variabler lagts till.
• Minneförbrukningen har minskats vid hantering av långlivade förfrågningar i konfigurationer som använder direktiven "gzip", "gunzip", "ssi", "sub_filter" eller "grpc_pass".
• Problem med backporting i GCC 14 har åtgärdats vid användning av alternativet "--with-atomic".
• Fel i implementeringen av HTTP/3 har åtgärdats.

Det kan också nämnas publiceringen av den nya huvudgrenen FreeNginx 1.27.0, en fork av Nginx som utvecklas av Maksim Dunin, en av de centrala utvecklarna av Nginx. FreeNginx positioneras som ett icke-kommersiellt projekt som möjliggör utveckling av koden till Nginx utan företagsinblandning. I den nya versionen har felhanteringen förbättrats vid läsning av begärans kropp, bygget för NetBSD 10.0 har optimerats och hanteringen av PID-filer har förbättrats (parametern "off" har lagts till i direktivet "pid").

Källa: opennet.ru