Обновление nginx 1.31.7 и njs 1.0.2 с устранением уязвимостей

Сформирован выпуск основной ветки nginx 1.31.7, в рамках которой продолжается развитие новых возможностей, а также выпуск параллельно поддерживаемой стабильной ветки nginx 1.30.6, в которую вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей. В обновлениях устранено 5 уязвимостей:


- CVE-2026-15176 - переполнение буфера, проявляющееся при использовании
директивы "alias" в конфигурациях, меняющих URI запроса через директиву
"rewrite" с дальнейшим перенаправлением на файл.

- CVE-2026-93479 - переполнение буфера, возникающее при выполнении строковых выражений с переменными и проявляющееся при вычислении пути к корневому каталогу и при логгировании запросов в модулях http и stream

- CVE-2026-95101 - обход ограничения "client_max_body_size" и подстановка сторонних данных в проксируемый запрос через передачу некорректных фреймов в HTTP/3, часть содержимого которых могло быть обработано как тело запроса.


- CVE-2026-97629 - подделка TLS-сеансов из-за оставления одного из сессионных ключей неинициализированным во время ротации.

- CVE-2026-97205 - обращение к памяти после её освобождения (use-after-free), возникающее при использовании на SSI-страницах команд "include virtual" в сочетании с применением асинхронного ввода/вывода (AIO).






Не связанные с уязвимостями изменения в nginx 1.31.7:


- В модули ngx_http_geoip_module и ngx_stream_geoip_module добавлена поддержка БД в формате MaxMind (MMDB).
- Реализована возможность проверки по IP-адресу SSL-сертификатов, используемых в бэкенде.
- Реализованы возможности переконфигурации и обновления исполняемого файла при использовании в настройках директивы quic_bpf.

- В модуле ngx_http_v2_module реализована схема расстановки приоритетов, соответствующая RFC 9218.






Одновременно доступен выпуск njs 1.0.2, модуля для интеграции интерпретатора языка JavaScript в http-сервер nginx. Njs позволяет использовать сценарии JavaScript в файлах конфигурации для расширения возможностей nginx. Скрипты могут использоваться для определения расширенной логики обработки запросов, формирования конфигурации, динамической генерации ответов, модификации запроса/ответа или быстрого создания заглушек с решением проблем в web-приложениях. Код проекта написан на Си и распространяется под лицензией BSD.



В выпуске njs 1.0.2 устранены уязвимости: исчерпание доступной памяти при разборе некорректных XML-данных (CVE-2026-101025) и нарушение проверки подписанного XML-документа через манипуляцию с XML-атрибутами (CVE-2026-101019). Добавлены методы XMLNode.getAttributeNS() и XMLNode.getChildNS(). Сокращено потребление памяти при компиляции в движке njs.






https://opennet.ru/66473/
https://opennet.me/66473/