Uppdateringar av nginx 1.29.7 och 1.28.3 som åtgärdar 6 sårbarheter.

Version 1.29.7 av huvudgrenen nginx har släppts, där nya möjligheter fortsätter att utvecklas, samt en parallellt stödd stabil gren, nginx 1.28.3, där endast ändringar relaterade till att åtgärda allvarliga fel och sårbarheter görs. I uppdateringarna har 6 sårbarheter åtgärdats, tre av vilka leder till buffer overflow. Fyra sårbarheter har tilldelats en hög risknivå (8.8 eller 8.5 av 10).

• CVE-2026-27654 — buffer overflow i ngx_http_dav_module, som uppstår vid hantering av WebDAV-begärningar COPY och MOVE när du använder direktivet "alias" i "location"-block. Sårbarheten gör det möjligt att ändra filvägar för att få åtkomst utanför basmappen. Problemet identifierades med hjälp av AI-modellen Claude.
• CVE-2026-27784, CVE-2026-32647 — buffer overflow i ngx_http_mp4_module, som uppstår vid hantering av specialdesignade mp4-filer. Det utesluts inte att utnyttjande av sårbarheten kan leda till att arbetet avslutas oväntat.
• CVE-2026-27651 — dereferering av en nullpekare vid felaktig användning av autentiseringsmetoderna CRAM-MD5 eller APOP.
• CVE-2026-28753 — möjlighet till manipulation av PTR-poster i DNS för att injicera angriparens data i auth_http-förfrågningar och kommandon XCLIENT i SMTP-anslutningar till backend.
• CVE-2026-28755 — bypass av OCSP-kontrollresultatet för certifikat i stream-modulen.

Bland de icke-säkerhetsrelaterade ändringarna i nginx 1.29.7.

• Stödet för Multipath TCP (MPTCP) har lagts till, vilket möjliggör samtidig leverans av paket via flera vägar över olika nätverksgränssnitt. Parametern "multipath" har lagts till i direktivet "listen" för att aktivera detta.
• En parameter "local" har lagts till direktivet "keepalive", som används i "upstream"-block. När denna parameter anges, istället för att dela ett enda anslutning till den gemensamma upstream-servern som nämns i olika location- och serverblock, upprätthålls en separat anslutning till upstream för varje block.
• I "upstream"-blocket är direktivet "keepalive" aktiverat som standard.
• När det används i proxy-läge ställs HTTP-protokollets version till HTTP/1.1 som standard, med keep-alive-läget aktiverat (stöd för keep-alive är aktiverat som standard i ngx_http_proxy_module och värdet "1.1" ställs in i direktivet "proxy_http_version" och sändningen av headern "Connection" har genomförts). För att återfå det gamla beteendet som tillåter åtkomst till backends som bara stöder HTTP/1.0 bör inställningarna som följer anges: proxy_http_version 1.0; proxy_set_header Connection "Close";

Källa: opennet.ru