Обновление nginx 1.31.7 и njs 1.0.2 с устранением уязвимостей

[root:#]

Сформирован выпуск основной ветки nginx 1.31.7, в рамках которой продолжается развитие новых возможностей, а также выпуск параллельно поддерживаемой стабильной ветки nginx 1.30.6, в которую вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей. В обновлениях устранено 5 уязвимостей:

• CVE-2026-15176 - переполнение буфера, проявляющееся при использовании директивы "alias" в конфигурациях, меняющих URI запроса через директиву "rewrite" с дальнейшим перенаправлением на файл. CVE-2026-93479 - переполнение буфера, возникающее при выполнении строковых выражений с переменными и проявляющееся при вычислении пути к корневому каталогу и при логгировании запросов в модулях http и stream CVE-2026-95101 - обход ограничения "client_max_body_size" и подстановка сторонних данных в проксируемый запрос через передачу некорректных фреймов в HTTP/3, часть содержимого которых могло быть обработано как тело запроса. CVE-2026-97629 - подделка TLS-сеансов из-за оставления одного из сессионных ключей неинициализированным во время ротации. CVE-2026-97205 - обращение к памяти после её освобождения (use-after-free), возникающее при использовании на SSI-страницах команд "include virtual" в сочетании с применением асинхронного ввода/вывода (AIO).

Не связанные с уязвимостями изменения в nginx 1.31.7:

• В модули ngx_http_geoip_module и ngx_stream_geoip_module добавлена поддержка БД в формате MaxMind (MMDB). Реализована возможность проверки по IP-адресу SSL-сертификатов, используемых в бэкенде. Реализованы возможности переконфигурации и обновления исполняемого файла при использовании в настройках директивы quic_bpf. В модуле ngx_http_v2_module реализована схема расстановки приоритетов, соответствующая RFC 9218.

Одновременно доступен выпуск njs 1.0.2, модуля для интеграции интерпретатора языка JavaScript в http-сервер nginx. Njs позволяет использовать сценарии JavaScript в файлах конфигурации для расширения возможностей nginx. Скрипты могут использоваться для определения расширенной логики обработки запросов, формирования конфигурации, динамической генерации ответов, модификации запроса/ответа или быстрого создания заглушек с решением проблем в web-приложениях. Код проекта написан на Си и распространяется под лицензией BSD.
В выпуске njs 1.0.2 устранены уязвимости: исчерпание доступной памяти при разборе некорректных XML-данных (CVE-2026-101025) и нарушение проверки подписанного XML-документа через манипуляцию с XML-атрибутами (CVE-2026-101019). Добавлены методы XMLNode.getAttributeNS() и XMLNode.getChildNS(). Сокращено потребление памяти при компиляции в движке njs.
Источник: https://www.opennet.ru/opennews/art.shtml?num=66473