{"id":166097,"date":"2026-03-25T11:12:50","date_gmt":"2026-03-25T09:12:50","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej"},"modified":"2026-03-25T11:12:50","modified_gmt":"2026-03-25T09:12:50","slug":"obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/obnovleniya-nginx-1-29-7-i-1-28-3-s-ustraneniem-6-uyazvimostej","title":{"rendered":"Uppdateringar av nginx 1.29.7 och 1.28.3 som \u00e5tg\u00e4rdar 6 s\u00e5rbarheter.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Version 1.29.7 av huvudgrenen nginx har sl\u00e4ppts, d\u00e4r nya m\u00f6jligheter forts\u00e4tter att utvecklas, samt en parallellt st\u00f6dd stabil gren, nginx 1.28.3, d\u00e4r endast \u00e4ndringar relaterade till att \u00e5tg\u00e4rda allvarliga fel och s\u00e5rbarheter g\u00f6rs. I uppdateringarna har 6 s\u00e5rbarheter \u00e5tg\u00e4rdats, tre av vilka leder till buffer overflow. Fyra s\u00e5rbarheter har tilldelats en h\u00f6g riskniv\u00e5 (8.8 eller 8.5 av 10). <\/p>\n
\n
CVE-2026-27654 \u2013 en buffert\u00f6verfl\u00f6d i modulen ngx_http_dav_module, som uppst\u00e5r vid behandling av WebDAV-f\u00f6rfr\u00e5gningar COPY och MOVE n\u00e4r de anv\u00e4nds i blocket \"location\" med direktivet \"alias\". S\u00e5rbarheten m\u00f6jligg\u00f6r att \u00e4ndra s\u00f6kv\u00e4gar till filer f\u00f6r att f\u00e5 \u00e5tkomst utanf\u00f6r den grundl\u00e4ggande katalogen. Problemet har uppt\u00e4ckts med hj\u00e4lp av AI-modellen Claude.\n
CVE-2026-27784, CVE-2026-32647 \u2013 buffert\u00f6verfl\u00f6d i modulen ngx_http_mp4_module, som uppst\u00e5r vid behandling av speciellt formaterade mp4-filer. Det utesluts inte att utnyttjandet av s\u00e5rbarheten inte begr\u00e4nsas till att en process kraschar.\n
CVE-2026-27651 \u2013 dereferering av en nullpekare vid felaktig anv\u00e4ndning av autentiseringsmetoderna CRAM-MD5 eller APOP.\n
CVE-2026-28753 \u2013 m\u00f6jlighet till manipulation av PTR-poster i DNS f\u00f6r att infoga angriparens data i auth_http-f\u00f6rfr\u00e5gningar och kommandot XCLIENT i SMTP-anslutningen till backend.\n
CVE-2026-28755 \u2013 omg\u00e5 resultaten av OCSP-valideringen av certifikatet i modulen stream. <\/ul>\n
Bland de icke-s\u00e4kerhetsrelaterade \u00e4ndringarna i nginx 1.29.7. <\/p>\n
\n
St\u00f6det f\u00f6r Multipath TCP (MPTCP) har lagts till, vilket m\u00f6jligg\u00f6r leverans av paket \u00f6ver flera rutter samtidigt via olika n\u00e4tverksgr\u00e4nssnitt. Parameter \"multipath\" har lagts till direktivet \"listen\" f\u00f6r att aktivera detta.\n
I direktivet \"keepalive\", som anv\u00e4nds i blocket \"upstream\", har parameter \"local\" lagts till. Genom att ange denna parameter, ist\u00e4llet f\u00f6r att dela ett enda anslutning till en gemensam upstream-server som n\u00e4mns i olika block av location och server, uppr\u00e4tth\u00e5lls en separat anslutning till upstream f\u00f6r varje block.\n
I blocket \"upstream\" har direktivet \"keepalive\" aktiverats som standard.\n
Vid anv\u00e4ndning i proxy-l\u00e4ge \u00e4r standardprotokollet HTTP\/1.1 aktiverat med keep-alive-l\u00e4get (modulen ngx_http_proxy_module har standardst\u00f6d f\u00f6r keep-alive aktiverat och v\u00e4rdet \"1.1\" st\u00e4lls in i direktivet \"proxy_http_version\", och s\u00e4ndningen av \"Connection\"-huvudet har upph\u00f6rt som standard). F\u00f6r att \u00e5terf\u00e5 det gamla beteendet som till\u00e5ter \u00e5tkomst till backends som endast st\u00f6der HTTP\/1.0, b\u00f6r inst\u00e4llningarna st\u00e4llas in: proxy_http_version 1.0; proxy_set_header Connection \"Close\"; <\/ul>\n