Skip to content

Commit 9b33611

Browse files
pluknetpluknet
committed
nginx-1.27.4, nginx-1.26.3.
1 parent 4280753 commit 9b33611

File tree

7 files changed

+141
-0
lines changed

7 files changed

+141
-0
lines changed

‎text/en/CHANGES‎

Lines changed: 30 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -1,4 +1,34 @@
11

2+
Changes with nginx 1.27.4 05 Feb 2025
3+
4+
*) Security: insufficient check in virtual servers handling with TLSv1.3
5+
SNI allowed to reuse SSL sessions in a different virtual server, to
6+
bypass client SSL certificates verification (CVE-2025-23419).
7+
8+
*) Feature: the "ssl_object_cache_inheritable", "ssl_certificate_cache",
9+
"proxy_ssl_certificate_cache", "grpc_ssl_certificate_cache", and
10+
"uwsgi_ssl_certificate_cache" directives.
11+
12+
*) Feature: the "keepalive_min_timeout" directive.
13+
14+
*) Workaround: "gzip filter failed to use preallocated memory" alerts
15+
appeared in logs when using zlib-ng.
16+
17+
*) Bugfix: nginx could not build libatomic library using the library
18+
sources if the --with-libatomic=DIR option was used.
19+
20+
*) Bugfix: QUIC connection might not be established when using 0-RTT;
21+
the bug had appeared in 1.27.1.
22+
23+
*) Bugfix: nginx now ignores QUIC version negotiation packets from
24+
clients.
25+
26+
*) Bugfix: nginx could not be built on Solaris 10 and earlier with the
27+
ngx_http_v3_module.
28+
29+
*) Bugfixes in HTTP/3.
30+
31+
232
Changes with nginx 1.27.3 26 Nov 2024
333

434
*) Feature: the "server" directive in the "upstream" block supports the

‎text/en/CHANGES-1.26‎

Lines changed: 24 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -1,4 +1,28 @@
11

2+
Changes with nginx 1.26.3 05 Feb 2025
3+
4+
*) Security: insufficient check in virtual servers handling with TLSv1.3
5+
SNI allowed to reuse SSL sessions in a different virtual server, to
6+
bypass client SSL certificates verification (CVE-2025-23419).
7+
8+
*) Bugfix: in the ngx_http_mp4_module.
9+
Thanks to Nils Bars.
10+
11+
*) Workaround: "gzip filter failed to use preallocated memory" alerts
12+
appeared in logs when using zlib-ng.
13+
14+
*) Bugfix: nginx could not build libatomic library using the library
15+
sources if the --with-libatomic=DIR option was used.
16+
17+
*) Bugfix: nginx now ignores QUIC version negotiation packets from
18+
clients.
19+
20+
*) Bugfix: nginx could not be built on Solaris 10 and earlier with the
21+
ngx_http_v3_module.
22+
23+
*) Bugfixes in HTTP/3.
24+
25+
226
Changes with nginx 1.26.2 14 Aug 2024
327

428
*) Security: processing of a specially crafted mp4 file by the

‎text/ru/CHANGES.ru‎

Lines changed: 31 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -1,4 +1,35 @@
11

2+
Изменения в nginx 1.27.4 05.02.2025
3+
4+
*) Безопасность: недостаточная проверка в обработке виртуальных серверов
5+
при использовании SNI в TLSv1.3 позволяла повторно использовать
6+
SSL-сессию в контексте другого виртуального сервера, чтобы обойти
7+
проверку клиентских SSL-сертификатов (CVE-2025-23419).
8+
9+
*) Добавление: директивы ssl_object_cache_inheritable,
10+
ssl_certificate_cache, proxy_ssl_certificate_cache,
11+
grpc_ssl_certificate_cache и uwsgi_ssl_certificate_cache.
12+
13+
*) Добавление: директива keepalive_min_timeout.
14+
15+
*) Изменение: при использовании zlib-ng в логах появлялись сообщения
16+
"gzip filter failed to use preallocated memory".
17+
18+
*) Исправление: nginx не мог собрать библиотеку libatomic из исходных
19+
текстов, если использовался параметр --with-libatomic=DIR.
20+
21+
*) Исправление: могла происходить ошибка установления соединения при
22+
использовании 0-RTT в QUIC; ошибка появилась в 1.27.1.
23+
24+
*) Исправление: теперь nginx игнорирует пакеты согласования версий QUIC
25+
от клиентов.
26+
27+
*) Исправление: nginx не собирался на Solaris 10 и более ранних с
28+
модулем ngx_http_v3_module.
29+
30+
*) Исправления в HTTP/3.
31+
32+
233
Изменения в nginx 1.27.3 26.11.2024
334

435
*) Добавление: директива server в блоке upstream поддерживает параметр

‎text/ru/CHANGES.ru-1.26‎

Lines changed: 25 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -1,4 +1,29 @@
11

2+
Изменения в nginx 1.26.3 05.02.2025
3+
4+
*) Безопасность: недостаточная проверка в обработке виртуальных серверов
5+
при использовании SNI в TLSv1.3 позволяла повторно использовать
6+
SSL-сессию в контексте другого виртуального сервера, чтобы обойти
7+
проверку клиентских SSL-сертификатов (CVE-2025-23419).
8+
9+
*) Исправление: в модуле ngx_http_mp4_module.
10+
Спасибо Nils Bars.
11+
12+
*) Изменение: при использовании zlib-ng в логах появлялись сообщения
13+
"gzip filter failed to use preallocated memory".
14+
15+
*) Исправление: nginx не мог собрать библиотеку libatomic из исходных
16+
текстов, если использовался параметр --with-libatomic=DIR.
17+
18+
*) Исправление: теперь nginx игнорирует пакеты согласования версий QUIC
19+
от клиентов.
20+
21+
*) Исправление: nginx не собирался на Solaris 10 и более ранних с
22+
модулем ngx_http_v3_module.
23+
24+
*) Исправления в HTTP/3.
25+
26+
227
Изменения в nginx 1.26.2 14.08.2024
328

429
*) Безопасность: обработка специально созданного mp4-файла модулем

‎xml/en/security_advisories.xml‎

Lines changed: 7 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -26,6 +26,13 @@ Patches are signed using one of the
2626

2727
<security>
2828

29+
<item name="SSL session reuse vulnerability"
30+
severity="medium"
31+
cve="2025-23419"
32+
good="1.27.4+, 1.26.3+"
33+
vulnerable="1.11.4-1.27.3">
34+
</item>
35+
2936
<item name="Buffer overread in the ngx_http_mp4_module"
3037
severity="low"
3138
advisory="https://mailman.nginx.org/pipermail/nginx-announce/2024/UUOCLLONPR6244YQYU65PO5LB7JDYCWM.html"

‎xml/index.xml‎

Lines changed: 22 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -27,6 +27,28 @@
2727
<year href="2009.html" year="2009" />
2828
</years>
2929

30+
<event date="2025-02-05">
31+
<para>
32+
<link doc="en/download.xml">nginx-1.26.3</link>
33+
stable version has been released,
34+
with a fix for the
35+
<link doc="en/security_advisories.xml">SSL session reuse</link>
36+
vulnerability (CVE-2025-23419).
37+
</para>
38+
</event>
39+
40+
<event date="2025-02-05">
41+
<para>
42+
<link doc="en/download.xml">nginx-1.27.4</link>
43+
mainline version has been released, featuring
44+
<link url="https://blog.nginx.org/blog/optimizing-resource-usage-for-complex-ssl-configurations">optimized
45+
resource usage for complex SSL configurations</link>,
46+
and with a fix for the
47+
<link doc="en/security_advisories.xml">SSL session reuse</link>
48+
vulnerability (CVE-2025-23419).
49+
</para>
50+
</event>
51+
3052
<event date="2025-01-14">
3153
<para>
3254
<link doc="en/docs/njs/index.xml">njs-0.8.9</link>

‎xml/versions.xml‎

Lines changed: 2 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -9,6 +9,7 @@
99

1010
<download tag="mainline" changes="">
1111

12+
<item ver="1.27.4" />
1213
<item ver="1.27.3" />
1314
<item ver="1.27.2" />
1415
<item ver="1.27.1" />
@@ -19,6 +20,7 @@
1920

2021
<download tag="stable" changes="1.26">
2122

23+
<item ver="1.26.3" />
2224
<item ver="1.26.2" />
2325
<item ver="1.26.1" />
2426
<item ver="1.26.0" />

0 commit comments

Comments
 (0)