nginx 1.31.7 и njs 1.0.2 — исправлены уязвимости безопасности

Вышли новые версии веб-сервера nginx 1.31.7 и 1.30.6, а также jаvascript-модуля njs 1.0.2. Обновления устраняют пять уязвимостей в nginx и две уязвимости в njs, повышают безопасность обработки HTTP-запросов, TLS-соединений и XML-данных. Дополнительно в новых версиях реализованы улучшения сетевых модулей, обработки HTTP/2 и работы с базами геолокации IP-адресов.

nginx 1.31.7 и 1.30.6: исправление уязвимостей безопасности

Основная ветка nginx 1.31.7 продолжает развиваться за счёт новых функций и технических улучшений. Параллельно выпущена стабильная версия nginx 1.30.6, предназначенная преимущественно для исправления серьёзных ошибок и проблем безопасности.

В новых версиях устранены пять уязвимостей:

• CVE-2026-15176 — переполнение буфера при использовании директивы alias в конфигурациях с изменением URI через rewrite и последующим перенаправлением на файл.
• CVE-2026-93479 — переполнение буфера при вычислении строковых выражений с переменными. Проблема затрагивает обработку путей к корневому каталогу и журналирование запросов в модулях HTTP и Stream.
• CVE-2026-95101 — обход ограничения client_max_body_size и возможность внедрения посторонних данных в проксируемые запросы при обработке некорректных HTTP/3-фреймов.
• CVE-2026-97629 — возможность подделки TLS-сеансов из-за неинициализированного сессионного ключа при ротации.
• CVE-2026-97205 — обращение к освобождённой памяти (use-after-free), возникающее при использовании команд include virtual на SSI-страницах совместно с асинхронным вводом-выводом (AIO).

Обнаруженные проблемы затрагивают обработку запросов, управление памятью и механизмы защиты соединений. Своевременное обновление nginx помогает снизить риски эксплуатации уязвимостей на веб-серверах и прокси-серверах.

Новые возможности nginx 1.31.7

Помимо исправлений безопасности, основная ветка nginx получила ряд функциональных улучшений:

• Добавлена поддержка баз данных геолокации MaxMind MMDB в модулях ngx_http_geoip_module и ngx_stream_geoip_module.
• Реализована проверка SSL-сертификатов бэкендов по IP-адресу.
• Добавлены возможности переконфигурации и обновления исполняемого файла при использовании директивы quic_bpf.
• В модуле ngx_http_v2_module реализована схема приоритизации потоков, соответствующая RFC 9218.

Эти изменения расширяют возможности администрирования nginx, улучшают интеграцию с современными протоколами и предоставляют дополнительные инструменты для настройки сетевой инфраструктуры.

njs 1.0.2: устранение уязвимостей и оптимизация jаvascript-движка

Одновременно выпущена новая версия njs 1.0.2 — модуля, позволяющего использовать jаvascript для расширения функциональности nginx.

Njs применяется для создания пользовательской логики обработки HTTP-запросов, изменения заголовков и содержимого запросов и ответов, динамической генерации данных и автоматизации задач на уровне конфигурации веб-сервера.

В версии njs 1.0.2 исправлены две уязвимости:

• CVE-2026-101025 — исчерпание доступной памяти при разборе некорректных XML-данных.
• CVE-2026-101019 — нарушение проверки подписанного XML-документа при манипуляциях с XML-атрибутами.

Также в njs добавлены методы XMLNode.getAttributeNS() и XMLNode.getChildNS() для работы с XML-атрибутами и дочерними узлами с учётом пространств имён. Дополнительно оптимизировано потребление памяти при компиляции кода в движке njs.

Как обновить nginx и njs

Администраторам веб-серверов рекомендуется проверить используемые версии nginx и njs, оценить применимость исправлений к текущей конфигурации и установить соответствующие обновления из официальных репозиториев или пакетов поставщика операционной системы.

Перед обновлением следует проверить совместимость конфигурации и сторонних модулей, а после установки — убедиться в корректной работе веб-сервера и его приложений.

Итог: выпуск nginx 1.31.7, nginx 1.30.6 и njs 1.0.2 направлен на повышение безопасности веб-инфраструктуры, устранение уязвимостей обработки запросов и XML-документов, а также расширение возможностей настройки и оптимизации nginx.