Одновременно вышли два обновления nginx: основная ветка 1.29.7 с новыми возможностями и стабильная 1.28.3 только с исправлениями безопасности.
Уязвимости
Закрыто 6 уязвимостей, четыре из которых получили высокий уровень опасности.
Три уязвимости связаны с переполнением буфера:
CVE-2026-27654 — переполнение в модуле WebDAV при обработке запросов COPY и MOVE с директивой alias. Позволяет обратиться к файлам за пределами базового каталога. Примечательно, что уязвимость обнаружена с помощью AI-модели Claude.CVE-2026-27784 и CVE-2026-32647 — переполнения буфера в модуле ngx_http_mp4_module при обработке специально сформированных MP4-файлов. Последствия могут не ограничиваться аварийным завершением процесса.Остальные три:
CVE-2026-27651 — разыменование нулевого указателя при некорректном использовании CRAM-MD5 или APOP.CVE-2026-28753 — манипуляция PTR-записями DNS для подстановки данных атакующего в SMTP-соединение к бэкенду.CVE-2026-28755 — обход OCSP-проверки сертификата в модуле stream.Новое в 1.29.7
Добавлена поддержка Multipath TCP: пакеты теперь можно доставлять одновременно по нескольким маршрутам через разные сетевые интерфейсы. Включается параметром
multipath в директиве listen.В директиву
keepalive блока upstream добавлен параметр local: для каждого блока location и server теперь можно поддерживать отдельное соединение к upstream вместо общего. Сама директива keepalive в блоке upstream теперь включена по умолчанию.Важное изменение поведения: в режиме прокси теперь по умолчанию используется HTTP/1.1 с keep-alive. Если бэкенд поддерживает только HTTP/1.0, нужно явно вернуть старое поведение:
proxy_http_version 1.0;
proxy_set_header Connection "Close";
➡️ Источник
📍 Навигация: Вакансии • Задачи • Собесы
🐸 Библиотека devops'a
#пульс_индустрии