Викиновости

Обновление nginx 1.14.1 и 1.15.6 с устранением трёх уязвимостей

6 ноября 2018 года

Опубликованы новые выпуски основной и стабильной веток высокопроизводительного HTTP-сервера nginx - 1.14.1 и 1.15.6, в которых устранены три уязвимости:

  • CVE-2018-16845 - ошибка в модуле ngx_http_mp4_module (не собирается по умолчанию) может привести к краху рабочего процесса или отправке в составе ответа содержимого областей памяти рабочего процесса при обработке специально оформленных файлов mp4;
  • CVE-2018-16843 - DoS-уязвимость в реализации протокола HTTP/2, которая может привести к исчерпанию доступной процессу памяти. Проблема проявляется только при использовании модуля ngx_http_v2_module и указании опции "http2" в блоке "listen";
  • CVE-2018-16844 - DoS-уязвимость в реализации протокола HTTP/2, которая может привести к утилизации доступных ресурсов CPU.

В выпуске 1.15.6 дополнительно для настройки keepalive для исходящих соединений (включения или выключения опции SO_KEEPALIVE для сокетов) добавлены новые директивы:

  • "proxy_socket_keepalive" - конфигурирует поведение "TCP keepalive" для исходящих соединений к проксируемому серверу;
  • "fastcgi_socket_keepalive" - конфигурирует поведение "TCP keepalive" для исходящих соединений к FastCGI-серверу;
  • "grpc_socket_keepalive" - конфигурирует поведение "TCP keepalive" для исходящих соединений к gRPC-серверу;
  • "memcached_socket_keepalive" - конфигурирует поведение "TCP keepalive" для исходящих соединений к серверу memcached;
  • "scgi_socket_keepalive" - конфигурирует поведение "TCP keepalive" для исходящих соединений к SCGI-серверу;
  • "uwsgi_socket_keepalive" - конфигурирует поведение "TCP keepalive" для исходящих соединений к uwsgi-серверу.
  • Исправлена ошибка, из-за которой протокол TLS 1.3 оставался постоянно включен при сборке с

OpenSSL 1.1.0 и использовании OpenSSL 1.1.1;

  • В бэкендах gRPC сокращено потребление памяти.

Источники

править
 
 
Creative Commons
Эта статья содержит материалы из статьи «Обновление nginx 1.14.1 и 1.15.6 с устранением трёх уязвимостей», опубликованной OpenNET и распространяющейся на условиях лицензии Creative Commons Attribution (CC BY) — указание автора, источник и лицензию.
 
Эта статья загружена автоматически ботом NewsBots в архив и ещё не проверялась редакторами Викиновостей.
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.

Комментарии

Викиновости и Wikimedia Foundation не несут ответственности за любые материалы и точки зрения, находящиеся на странице и в разделе комментариев.



Источник — https://ru.wikinews.org/w/index.php?title=Обновление_nginx_1.14.1_и_1.15.6_с_устранением_трёх_уязвимостей&oldid=8968583