Phiên bản chính nginx 1.31.7 đã được phát hành, tiếp tục phát triển các tính năng mới. Phiên bản ổn định song song, nginx 1.30.6, cũng được phát hành, chỉ chứa các thay đổi liên quan đến việc khắc phục các lỗi và lỗ hổng nghiêm trọng. Các bản cập nhật này giải quyết năm lỗ hổng:
- CVE-2026-15176 - Lỗi tràn bộ đệm xảy ra khi sử dụng
Các chỉ thị "bí danh" trong cấu hình thay đổi URI yêu cầu thông qua một chỉ thị.
"Viết lại" và sau đó chuyển hướng đến tệp tin đó. - CVE-2026-93479 - Lỗi tràn bộ đệm xảy ra khi thực thi các biểu thức chuỗi với biến và biểu hiện rõ khi tính toán đường dẫn đến thư mục gốc và khi ghi nhật ký yêu cầu trong các mô-đun http và stream.
- CVE-2026-95101 — vượt qua giới hạn "client_max_body_size" và thay thế dữ liệu của bên thứ ba vào yêu cầu được ủy quyền bằng cách truyền các khung bị lỗi trong HTTP/3, một số nội dung trong đó có thể được xử lý như phần thân yêu cầu.
- CVE-2026-97629 - Lỗ hổng giả mạo phiên TLS do để một trong các khóa phiên chưa được khởi tạo trong quá trình xoay vòng.
- CVE-2026-97205 - Tồn tại lỗ hổng sử dụng bộ nhớ sau khi đã giải phóng khi sử dụng các lệnh "include virtual" trong các trang SSI kết hợp với I/O bất đồng bộ (AIO).
Các thay đổi không liên quan đến lỗ hổng bảo mật trong nginx 1.31.7:
- Đã bổ sung hỗ trợ cho cơ sở dữ liệu ở định dạng MaxMind (MMDB) vào các mô-đun ngx_http_geoip_module và ngx_stream_geoip_module.
- Đã triển khai khả năng kiểm tra bằng địa chỉ IP. Chứng chỉ SSLđược sử dụng ở phần phụ trợ.
- Đã triển khai khả năng cấu hình lại và cập nhật tệp thực thi khi sử dụng chỉ thị quic_bpf trong phần cài đặt.
- Mô-đun ngx_http_v2_module triển khai một lược đồ ưu tiên tuân thủ RFC 9218.
Njs 1.0.2, một mô-đun tích hợp trình thông dịch JavaScript vào máy chủ HTTP Nginx, hiện đã có sẵn. Njs cho phép sử dụng các tập lệnh JavaScript trong các tệp cấu hình để mở rộng khả năng của Nginx. Các tập lệnh có thể được sử dụng để định nghĩa logic xử lý yêu cầu nâng cao, tạo cấu hình, tạo phản hồi động, sửa đổi yêu cầu/phản hồi hoặc nhanh chóng tạo các đoạn mã giả để giải quyết sự cố trong các ứng dụng web. Mã nguồn dự án được viết bằng ngôn ngữ C và được phân phối theo giấy phép BSD.
NJS 1.0.2 khắc phục các lỗ hổng sau: cạn kiệt bộ nhớ khi phân tích cú pháp dữ liệu XML bị lỗi (CVE-2026-101025) và vi phạm xác thực tài liệu XML đã ký do thao tác thuộc tính XML (CVE-2026-101019). Các phương thức XMLNode.getAttributeNS() và XMLNode.getChildNS() đã được thêm vào. Mức tiêu thụ bộ nhớ trong quá trình biên dịch trong công cụ NJS đã được giảm thiểu.
Nguồn: opennet.ru
