Versionerna nginx 1.21.0 och nginx 1.20.1 har släppts med åtgärder mot sårbarheter.

Den första versionen av den nya huvudgrenen nginx 1.21.0 har presenterats, genom vilken utvecklingen av nya funktioner kommer att fortsätta. Samtidigt har en korrigerande version av den parallellt stödda stabila grenen 1.20.1 förberetts, där endast ändringar relaterade till borttagning av allvarliga fel och sårbarheter införs. Under nästa år kommer en stabil gren 1.22 att formas baserat på huvudgrenen 1.21.x.

I de nya versionerna har en sårbarhet (CVE-2021-23017) i koden för namnupplösning av värdar i DNS åtgärdats, vilket kan leda till krasch eller potentiellt kodkörning av en angripare. Problemet manifesteras vid behandling av vissa DNS-server-svar som leder till ett ensamt byteoverflow. Sårbarheten uppträder endast om den aktiveras i inställningarna för DNS-upplösare via direktivet «resolver». För att genomföra attacken måste en angripare ha möjlighet att förfalska UDP-paket från DNS-servern eller få kontroll över DNS-servern. Sårbarheten finns från version nginx 0.6.18. En patch kan användas för att åtgärda problemet i äldre versioner.

Ändringar i nginx 1.21.0 som inte rör säkerhet:

• I direktiven «proxy_ssl_certificate», «proxy_ssl_certificate_key», «grpc_ssl_certificate», «grpc_ssl_certificate_key», «uwsgi_ssl_certificate» och «uwsgi_ssl_certificate_key» har stöd för variabler lagts till.
• Till postproxy-modulen har stöd för «pipelining» för att skicka flera POP3- eller IMAP-förfrågningar i en anslutning lagts till, samt en ny direktiv «max_errors» som bestämmer det maximala antalet protokollfel efter vilket anslutningen kommer att stängas.
• I stream-modulen har parametern «fastopen» lagts till, vilket aktiverar «TCP Fast Open»-läget för lyssnande sockets.
• Problem med att flykttecken för specialtecken vid automatisk omdirigering med tillägg av snedstreck i slutet har lösts.
• Problemet med att stänga anslutningar med klienter vid användning av SMTP pipelining har åtgärdats.

Källa: opennet.ru