Темы



Обновление nginx 1.31.7 и njs 1.0.2 с устранением уязвимостей14.10.2026 22:28

Коротко сгенерировано ИИ по тексту статьи
  • Выпущены nginx 1.31.7 и стабильная версия 1.30.6; в обновлениях устранены пять уязвимостей, включая переполнения буфера и use-after-free.
  • В nginx 1.31.7 добавлены поддержка баз MaxMind MMDB в GeoIP-модулях и схема приоритетов HTTP/2 по RFC 9218.
  • В njs 1.0.2 устранены две уязвимости при обработке XML, добавлены методы XMLNode.getAttributeNS() и XMLNode.getChildNS().

Почему это важно: Стабильная ветка nginx получает только исправления серьёзных ошибок и уязвимостей.

Сформирован выпуск основной ветки nginx 1.31.7, в рамках которой продолжается развитие новых возможностей, а также выпуск параллельно поддерживаемой стабильной ветки nginx 1.30.6, в которую вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей. В обновлениях устранено 5 уязвимостей:

  • CVE-2026–15176 — переполнение буфера, проявляющееся при использовании директивы «alias» в конфигурациях, меняющих URI запроса через директиву «rewrite» с дальнейшим перенаправлением на файл.

  • CVE-2026–93479 — переполнение буфера, возникающее при выполнении строковых выражений с переменными и проявляющееся при вычислении пути к корневому каталогу и при логгировании запросов в модулях http и stream

  • CVE-2026–95101 — обход ограничения «client_max_body_size» и подстановка сторонних данных в проксируемый запрос через передачу некорректных фреймов в HTTP/3, часть содержимого которых могло быть обработано как тело запроса.

  • CVE-2026–97629 — подделка TLS-сеансов из-за оставления одного из сессионных ключей неинициализированным во время ротации.

  • CVE-2026–97205 — обращение к памяти после её освобождения (use-after-free), возникающее при использовании на SSI-страницах команд «include virtual» в сочетании с применением асинхронного ввода/вывода (AIO).

Не связанные с уязвимостями изменения в nginx 1.31.7:

  • В модули ngx_http_geoip_module и ngx_stream_geoip_module добавлена поддержка БД в формате MaxMind (MMDB).
  • Реализована возможность проверки по IP-адресу SSL-сертификатов, используемых в бэкенде.

  • Реализованы возможности переконфигурации и обновления исполняемого файла при использовании в настройках директивы quic_bpf.

  • В модуле ngx_http_v2_module реализована схема расстановки приоритетов, соответствующая RFC 9218.

Одновременно доступен выпуск njs 1.0.2, модуля для интеграции интерпретатора языка JavaScript в http-сервер nginx. Njs позволяет использовать сценарии JavaScript в файлах конфигурации для расширения возможностей nginx. Скрипты могут использоваться для определения расширенной логики обработки запросов, формирования конфигурации, динамической генерации ответов, модификации запроса/ответа или быстрого создания заглушек с решением проблем в web-приложениях. Код проекта написан на Си и распространяется под лицензией BSD.

В выпуске njs 1.0.2 устранены уязвимости: исчерпание доступной памяти при разборе некорректных XML-данных (CVE-2026–101025) и нарушение проверки подписанного XML-документа через манипуляцию с XML-атрибутами (CVE-2026–101019). Добавлены методы XMLNode.getAttributeNS () и XMLNode.getChildNS (). Сокращено потребление памяти при компиляции в движке njs.



Источник: http://www.opennet.ru/opennews/art.shtml? num=66473

© OpenNet