สาขาหลักของ nginx 1.23.2 ได้รับการเผยแพร่แล้ว ซึ่งการพัฒนาคุณสมบัติใหม่ยังคงดำเนินต่อไป เช่นเดียวกับการเปิดตัวสาขาเสถียรที่รองรับแบบขนานของ nginx 1.22.1 ซึ่งรวมเฉพาะการเปลี่ยนแปลงที่เกี่ยวข้องกับการกำจัดข้อผิดพลาดร้ายแรงและ ช่องโหว่
เวอร์ชันใหม่กำจัดช่องโหว่สองรายการ (CVE-2022-41741, CVE-2022-41742) ในโมดูล ngx_http_mp4_module ซึ่งใช้ในการจัดระเบียบการสตรีมจากไฟล์ในรูปแบบ H.264/AAC ช่องโหว่อาจนำไปสู่ความเสียหายของหน่วยความจำหรือหน่วยความจำรั่วเมื่อประมวลผลไฟล์ mp4 ที่สร้างขึ้นเป็นพิเศษ ผลที่ตามมาคือมีการกล่าวถึงการยุติกระบวนการทำงานอย่างฉุกเฉิน แต่อาการอื่นๆ จะไม่รวมอยู่ในนั้น เช่น การจัดระเบียบของการเรียกใช้โค้ดบนเซิร์ฟเวอร์
เป็นที่น่าสังเกตว่าช่องโหว่ที่คล้ายกันได้รับการแก้ไขแล้วในโมดูล ngx_http_mp4_module ในปี 2012 นอกจากนี้ F5 ยังรายงานช่องโหว่ที่คล้ายกัน (CVE-2022-41743) ในผลิตภัณฑ์ NGINX Plus ซึ่งส่งผลกระทบต่อโมดูล ngx_http_hls_module ซึ่งให้การสนับสนุนโปรโตคอล HLS (Apple HTTP Live Streaming)
นอกเหนือจากการกำจัดช่องโหว่แล้ว ยังมีการเสนอการเปลี่ยนแปลงต่อไปนี้ใน nginx 1.23.2:
- เพิ่มการรองรับตัวแปร “$proxy_protocol_tlv_*” ซึ่งมีค่าของฟิลด์ TLV (Type-Length-Value) ที่ปรากฏในโปรโตคอล Type-Length-Value PROXY v2
- ให้การหมุนเวียนคีย์การเข้ารหัสโดยอัตโนมัติสำหรับตั๋วเซสชัน TLS ซึ่งใช้เมื่อใช้หน่วยความจำที่ใช้ร่วมกันในคำสั่ง ssl_session_cache
- ระดับการบันทึกสำหรับข้อผิดพลาดที่เกี่ยวข้องกับประเภทบันทึก SSL ที่ไม่ถูกต้องถูกลดระดับลงจากระดับวิกฤตเป็นระดับข้อมูล
- ระดับการบันทึกสำหรับข้อความเกี่ยวกับการไม่สามารถจัดสรรหน่วยความจำสำหรับเซสชันใหม่ได้เปลี่ยนจากการแจ้งเตือนเป็นคำเตือน และจำกัดไว้ที่เอาต์พุตหนึ่งรายการต่อวินาที
- บนแพลตฟอร์ม Windows มีการสร้างแอสเซมบลีด้วย OpenSSL 3.0 แล้ว
- ปรับปรุงการสะท้อนข้อผิดพลาดโปรโตคอล PROXY ในบันทึก
- แก้ไขปัญหาการหมดเวลาที่ระบุในคำสั่ง "ssl_session_timeout" ไม่ทำงานเมื่อใช้ TLSv1.3 ที่ใช้ OpenSSL หรือ BoringSSL
ที่มา: opennet.ru