Bản phát hành đầu tiên của nhánh chính mới của nginx 1.21.0 đã được trình bày, trong đó việc phát triển các tính năng mới sẽ tiếp tục. Đồng thời, một bản phát hành khắc phục đã được chuẩn bị song song với nhánh ổn định được hỗ trợ 1.20.1, nhánh này chỉ đưa ra những thay đổi liên quan đến việc loại bỏ các lỗi và lỗ hổng nghiêm trọng. Năm tới, dựa trên nhánh chính 1.21.x, nhánh ổn định 1.22 sẽ được hình thành.
Các phiên bản mới khắc phục lỗ hổng (CVE-2021-23017) trong mã phân giải tên máy chủ trong DNS, lỗ hổng này có thể dẫn đến sự cố hoặc có khả năng thực thi mã kẻ tấn công. Sự cố thể hiện ở việc xử lý một số phản hồi của máy chủ DNS nhất định dẫn đến tràn bộ đệm một byte. Lỗ hổng chỉ xuất hiện khi được bật trong cài đặt trình phân giải DNS bằng cách sử dụng lệnh “trình phân giải”. Để thực hiện một cuộc tấn công, kẻ tấn công phải có khả năng giả mạo các gói UDP từ máy chủ DNS hoặc giành quyền kiểm soát máy chủ DNS. Lỗ hổng này đã xuất hiện kể từ khi phát hành nginx 0.6.18. Một bản vá có thể được sử dụng để khắc phục sự cố trong các bản phát hành cũ hơn.
Những thay đổi không bảo mật trong nginx 1.21.0:
- Hỗ trợ biến đã được thêm vào các lệnh "proxy_ssl_certificate", "proxy_ssl_certificate_key", "grpc_ssl_certificate", "grpc_ssl_certificate_key", "uwsgi_ssl_certificate" và "uwsgi_ssl_certificate_key".
- Mô-đun proxy thư đã thêm hỗ trợ cho “đường ống” để gửi nhiều yêu cầu POP3 hoặc IMAP trong một kết nối, đồng thời cũng thêm một lệnh mới “max_errors”, xác định số lượng lỗi giao thức tối đa mà sau đó kết nối sẽ bị đóng.
- Đã thêm tham số "fastopen" vào mô-đun luồng, bật chế độ "TCP Fast Open" cho ổ cắm nghe.
- Các vấn đề về thoát ký tự đặc biệt trong quá trình chuyển hướng tự động bằng cách thêm dấu gạch chéo ở cuối đã được giải quyết.
- Vấn đề đóng kết nối với máy khách khi sử dụng đường dẫn SMTP đã được giải quyết.
Nguồn: opennet.ru