Метка: http2

nginx 1.31.7 Mainline с поддержкой HTTP/3 добавлен в репозиторий CodeIT. http2 и ngx_cache_purge встроены, а OpenSSL динамически линкуется с официальным OpenSSL 4.0.3 с поддержкой QUIC. Модуль сжатия Brotli от Google и ngx_http_geoip2 поставляются как динамические модули — в пакетах nginx-module-brotli и nginx-module-geoip2, оба необязательны, как и остальные модули nginx-module-*. Пакеты собраны для RHEL, CentOS, AlmaLinux, Rocky Linux и Oracle Linux 7, 8, 9 и 10, а также для Ubuntu 22.04 и 24.04.

Это обновление устраняет уязвимости. Рекомендуется обновиться.

Остальные динамические модули собраны отдельно и устанавливаются по желанию: nginx-module-lua вместе с lua-resty-core и lua-resty-lrucache, nginx-module-acme для автоматических сертификатов ACMEv2, nginx-module-njs, nginx-module-perl, nginx-module-xslt и nginx-module-image-filter. Каждый пакет сам добавляет строку load_module в /etc/nginx/modules-enabled, поэтому модуль работает сразу после установки и править nginx.conf вручную не нужно. Lua и ACME собираются для EL9, EL10 и Ubuntu; для EL7 вместо них есть nginx-module-geoip, а njs, Perl, XSLT и image-filter доступны только в rpm.

Тот же выпуск есть на Docker Hub как codeitus/nginx: образ собран на AlmaLinux 9 из этих же пакетов и опубликован для amd64 и arm64:

• самый свежий образ, из того пула, который вышел последним: docker pull codeitus/nginx
• самый свежий образ Mainline: docker pull codeitus/nginx:mainline
• именно этот выпуск: docker pull codeitus/nginx:1.31.7

Для HTTP/3 нужно опубликовать и UDP-порт, а не только TCP: docker run -d -p 80:80 -p 443:443 -p 443:443/udp codeitus/nginx

Основные изменения:

• Feature: модуль ngx_http_geoip_module и модуль ngx_stream_geoip_module теперь поддерживают базы данных в формате MaxMind DB (MMDB).
• Feature: теперь сертификаты SSL для back end можно проверять по IP-адресу.
• Feature: теперь QUIC поддерживает перенастройку и двоичное обновление при использовании директивы «quic_bpf».
• Change: модуль ngx_http_v2_module теперь использует схему приоритизации из RFC 9218, а сигналы приоритета из RFC 7540 игнорируются.
• Bugfix: в рабочем процессе мог возникать сегментационный отказ, либо в журналах могли появляться предупреждения «request count is zero», если строка заголовка «X-Accel-Redirect» была закэширована, а затем закэшированный ответ был отправлен клиенту.
• Bugfix: сегментационный отказ мог возникать в рабочем процессе, если для модуля ngx_http_dav_module использовали обработку методов COPY и MOVE в location с директивой «alias».
• Bugfix: соединения QUIC могли закрываться с сообщением «quic flood detected» в журналах, если директиве «http3_stream_buffer_size» задавалось небольшое значение; ошибка появлялась в 1.27.5.
• Bugfix: закрытие SSL-соединения без close_notify считалось корректным завершением, включая случай, когда соединение было сброшено; теперь в этом случае в журналах появляются ошибки «SSL_read() failed».
• Bugfix: сообщения «[crit] SSL_write() failed» могли появляться в журналах, когда возникала ошибка при чтении из SSL-соединения.

Исправленные уязвимости:

• Security: переполнение буфера могло возникать в рабочем процессе при использовании директивы «alias», если URI запроса изменялся директивой «rewrite» и затем сопоставлялся с путем к файлу (CVE-2026-15176).
• Security: переполнение буфера могло возникать в рабочем процессе при вычислении строковых выражений с переменными, что затрагивало вычисление корня документа и ведение журнала запросов в модулях http и stream (CVE-2026-93479).
• Security: при использовании HTTP/3 часть неизвестного кадра могла обрабатываться как тело запроса, что могло приводить к обходу лимита «client_max_body_size» или к внедрению данных в проксируемый запрос (CVE-2026-95101).
• Security: при использовании ротации ключей сеансовых билетов TLS один из ключей оставался неинициализированным, что могло позволять подделывать сеанс (CVE-2026-97629).
• Security: при использовании асинхронного ввода-вывода файлов (AIO) в некоторых конфигурациях мог возникать use-after-free, если на странице SSI используются команды «include virtual» (CVE-2026-97205).

nginx 1.30.6 Stable с поддержкой HTTP/3 добавлен в репозиторий CodeIT. http2 и ngx_cache_purge встроены, а OpenSSL динамически линкуется с официальным OpenSSL 4.0.3 с поддержкой QUIC. Модуль сжатия Brotli от Google и ngx_http_geoip2 поставляются как динамические модули — в пакетах nginx-module-brotli и nginx-module-geoip2, оба необязательны, как и остальные модули nginx-module-*. Пакеты собраны для RHEL, CentOS, AlmaLinux, Rocky Linux и Oracle Linux 7, 8, 9 и 10, а также для Ubuntu 22.04 и 24.04.

Это обновление устраняет уязвимости. Рекомендуется обновиться.

Остальные динамические модули собраны отдельно и устанавливаются по желанию: nginx-module-lua вместе с lua-resty-core и lua-resty-lrucache, nginx-module-acme для автоматических сертификатов ACMEv2, nginx-module-njs, nginx-module-perl, nginx-module-xslt и nginx-module-image-filter. Каждый пакет сам добавляет строку load_module в /etc/nginx/modules-enabled, поэтому модуль работает сразу после установки и править nginx.conf вручную не нужно. Lua и ACME собираются для EL9, EL10 и Ubuntu; для EL7 вместо них есть nginx-module-geoip, а njs, Perl, XSLT и image-filter доступны только в rpm.

Тот же выпуск есть на Docker Hub как codeitus/nginx: образ собран на AlmaLinux 9 из этих же пакетов и опубликован для amd64 и arm64:

• самый свежий образ, из того пула, который вышел последним: docker pull codeitus/nginx
• самый свежий образ Stable: docker pull codeitus/nginx:stable
• именно этот выпуск: docker pull codeitus/nginx:1.30.6

Для HTTP/3 нужно опубликовать и UDP-порт, а не только TCP: docker run -d -p 80:80 -p 443:443 -p 443:443/udp codeitus/nginx

Основные изменения:

• Change: уровень логирования ошибок SSL с текстом «invalid alert» и «record layer failure», а также «SSL alert number N» для любых номеров оповещений был понижен с «crit» до «info».
• Bugfix: в рабочем процессе может возникать ошибка сегментации, а в логах могут появляться оповещения «request count is zero», если строка заголовка «X-Accel-Redirect» была закеширована, а затем закешированный ответ был выдан клиенту.
• Bugfix: в рабочем процессе может возникать ошибка сегментации, если для обработки методов COPY и MOVE в локации с директивой «alias» использовался модуль ngx_http_dav_module.
• Bugfix: при чтении конфигурации может возникать ошибка сегментации, если использовалась директива «geo» с параметром «ranges», а соответствующий двоичный файл базовых данных был повреждён.
• Bugfix: ошибка use-after-free может возникать в рабочем процессе, если использовалось проксирование с буферизацией и произошла ошибка при отправке ответа HTTP/2 клиенту.
• Bugfix: рабочий процесс может не завершаться, и в логах могут появляться оповещения «accept4() failed (9: Bad file descriptor)», если рабочий процесс исчерпал количество файловых дескрипторов до завершения по graceful shutdown.
• Bugfix: в рабочем процессе может возникать ошибка сегментации, если использовался метод «select».
• Bugfix: внесены изменения в бинарную совместимость с сторонними модулями, использующими коды сценариев; баг проявлялся в версии 1.30.4.
• Bugfix: в модуле ngx_http_perl_module.
• Bugfix: в механизме управления потоком в модуле ngx_http_v2_module.
• Bugfix: сообщения «[error] upstream sent frame for unknown stream» и «[crit] cache file … contains invalid header» могут появляться в логах при отправке кешированного HTTP/2-ответа в модуле ngx_http_proxy_v2_module, если использовалась директива «proxy_cache_revalidate».
• Bugfix: фрагментация IPv6 может быть не отключена при использовании QUIC в некоторых операционных системах.
• Bugfix: в модуле ngx_http_auth_basic_module на Solaris.
• Bugfixes в HTTP/3, ngx_http_image_filter_module, ngx_http_slice_module и ngx_http_memcached_module.

Исправленные уязвимости:

• Security: переполнение буфера может происходить в рабочем процессе при использовании директивы «alias», если URI запроса был изменён директивой «rewrite», а затем сопоставлен пути к файлу (CVE-2026-15176).
• Security: переполнение буфера может происходить в рабочем процессе при вычислении строковых выражений с переменными, что затрагивало вычисление document root и ведение журнала запросов в модулях http и stream (CVE-2026-93479).
• Security: при использовании HTTP/3 часть неизвестного фрейма может обрабатываться как тело запроса, что может привести к обходу ограничения «client_max_body_size» или внедрению данных в проксируемый запрос (CVE-2026-95101).
• Security: при использовании ротации ключей сеансовых билетов TLS один из ключей оставался неинициализированным, что может позволить подделать сеанс (CVE-2026-97629).
• Security: при использовании асинхронного ввода-вывода файлов (AIO) ошибка use-after-free может возникать в некоторых конфигурациях, если на странице SSI есть команды «include virtual» (CVE-2026-97205).

nginx 1.31.6 Mainline с поддержкой HTTP/3 добавлен в репозиторий CodeIT. http2 и ngx_cache_purge встроены, а OpenSSL динамически линкуется с официальным OpenSSL 4.0.2 с поддержкой QUIC. Модуль сжатия Brotli от Google и ngx_http_geoip2 поставляются как динамические модули — в пакетах nginx-module-brotli и nginx-module-geoip2, которые rpm-пакет nginx устанавливает автоматически (зависимость оставлена, чтобы существующие установки обновлялись без потери этих директив; через несколько месяцев мы её уберём, и оба модуля станут полностью необязательными). Пакеты собраны для RHEL, CentOS, AlmaLinux, Rocky Linux и Oracle Linux 7, 8, 9 и 10, а также для Ubuntu 22.04 и 24.04.

Это обновление устраняет уязвимости. Рекомендуется обновиться.

Остальные динамические модули собраны отдельно и устанавливаются по желанию: nginx-module-lua вместе с lua-resty-core и lua-resty-lrucache, nginx-module-acme для автоматических сертификатов ACMEv2, nginx-module-njs, nginx-module-perl, nginx-module-xslt и nginx-module-image-filter. Каждый пакет сам добавляет строку load_module в /etc/nginx/modules-enabled, поэтому модуль работает сразу после установки и править nginx.conf вручную не нужно. Lua и ACME собираются для EL9, EL10 и Ubuntu; для EL7 вместо них есть nginx-module-geoip, а njs, Perl, XSLT и image-filter доступны только в rpm.

Тот же выпуск есть на Docker Hub как codeitus/nginx: образ собран на AlmaLinux 9 из этих же пакетов и опубликован для amd64 и arm64:

• самый свежий образ, из того пула, который вышел последним: docker pull codeitus/nginx
• самый свежий образ Mainline: docker pull codeitus/nginx:mainline
• именно этот выпуск: docker pull codeitus/nginx:1.31.6

Для HTTP/3 нужно опубликовать и UDP-порт, а не только TCP: docker run -d -p 80:80 -p 443:443 -p 443:443/udp codeitus/nginx

Основные изменения:

• Изменение: параметры расширения transport QUIC, полученные в SSL-соединении, теперь всегда игнорируются.
• Исправление: двоичное обновление не выполнялось, если был задан сокет control API и новый исполняемый файл nginx был собран с модулем ngx_http_perl_module.
• Исправление: ошибка при вычислении предиката в location предиката игнорировалась, и предикат трактовался как false.
• Исправление: ошибка при поиске во вложенном location могла игнорироваться, если locations, заданные регулярными выражениями или предикатами, были настроены на текущем уровне.
• Исправление: при чтении конфигурации мог возникать сбой сегментации, если использовалась директива «geo» с параметром «ranges», а соответствующий двоичный базовый файл был повреждён.

Исправленные уязвимости:

• Безопасность: в рабочем процессе при некоторых конфигурациях могла возникать переполненная область памяти heap при использовании HTTP/3 с OpenSSL 3.5.0 и более ранними (CVE-2026-90439).

nginx 1.30.5 Stable с поддержкой HTTP/3 добавлен в репозиторий CodeIT. http2 и ngx_cache_purge встроены, а OpenSSL динамически линкуется с официальным OpenSSL 4.0.2 с поддержкой QUIC. Модуль сжатия Brotli от Google и ngx_http_geoip2 поставляются как динамические модули — в пакетах nginx-module-brotli и nginx-module-geoip2, которые rpm-пакет nginx устанавливает автоматически (зависимость оставлена, чтобы существующие установки обновлялись без потери этих директив; через несколько месяцев мы её уберём, и оба модуля станут полностью необязательными). Пакеты собраны для RHEL, CentOS, AlmaLinux, Rocky Linux и Oracle Linux 7, 8, 9 и 10, а также для Ubuntu 22.04 и 24.04.

Это обновление устраняет уязвимости. Рекомендуется обновиться.

Остальные динамические модули собраны отдельно и устанавливаются по желанию: nginx-module-lua вместе с lua-resty-core и lua-resty-lrucache, nginx-module-acme для автоматических сертификатов ACMEv2, nginx-module-njs, nginx-module-perl, nginx-module-xslt и nginx-module-image-filter. Каждый пакет сам добавляет строку load_module в /etc/nginx/modules-enabled, поэтому модуль работает сразу после установки и править nginx.conf вручную не нужно. Lua и ACME собираются для EL9, EL10 и Ubuntu; для EL7 вместо них есть nginx-module-geoip, а njs, Perl, XSLT и image-filter доступны только в rpm.

Тот же выпуск есть на Docker Hub как codeitus/nginx: образ собран на AlmaLinux 9 из этих же пакетов и опубликован для amd64 и arm64:

• самый свежий образ, из того пула, который вышел последним: docker pull codeitus/nginx
• самый свежий образ Stable: docker pull codeitus/nginx:stable
• именно этот выпуск: docker pull codeitus/nginx:1.30.5

Для HTTP/3 нужно опубликовать и UDP-порт, а не только TCP: docker run -d -p 80:80 -p 443:443 -p 443:443/udp codeitus/nginx

Основные изменения:

• Change: теперь расширение с параметрами транспорта QUIC, полученное в SSL-соединении, всегда игнорируется.

Исправленные уязвимости:

• Security: в буфере кучи рабочего процесса при некоторых конфигурациях может возникнуть переполнение памяти при использовании HTTP/3 с OpenSSL 3.5.0 и более ранними версиями (CVE-2026-90439).

nginx 1.31.5 Mainline с поддержкой HTTP/3 добавлен в репозиторий CodeIT. http2 и ngx_cache_purge встроены, а OpenSSL динамически линкуется с официальным OpenSSL 4.0.2 с поддержкой QUIC. Модуль сжатия Brotli от Google и ngx_http_geoip2 поставляются как динамические модули — в пакетах nginx-module-brotli и nginx-module-geoip2, которые rpm-пакет nginx устанавливает автоматически (зависимость оставлена, чтобы существующие установки обновлялись без потери этих директив; через несколько месяцев мы её уберём, и оба модуля станут полностью необязательными). Пакеты собраны для RHEL, CentOS, AlmaLinux, Rocky Linux и Oracle Linux 7, 8, 9 и 10, а также для Ubuntu 22.04 и 24.04.

Остальные динамические модули собраны отдельно и устанавливаются по желанию: nginx-module-lua вместе с lua-resty-core и lua-resty-lrucache, nginx-module-acme для автоматических сертификатов ACMEv2, nginx-module-njs, nginx-module-perl, nginx-module-xslt и nginx-module-image-filter. Каждый пакет сам добавляет строку load_module в /etc/nginx/modules-enabled, поэтому модуль работает сразу после установки и править nginx.conf вручную не нужно. Lua и ACME собираются для EL9, EL10 и Ubuntu; для EL7 вместо них есть nginx-module-geoip, а njs, Perl, XSLT и image-filter доступны только в rpm.

Тот же выпуск есть на Docker Hub как codeitus/nginx: образ собран на AlmaLinux 9 из этих же пакетов и опубликован для amd64 и arm64:

• самый свежий образ, из того пула, который вышел последним: docker pull codeitus/nginx
• самый свежий образ Mainline: docker pull codeitus/nginx:mainline
• именно этот выпуск: docker pull codeitus/nginx:1.31.5

Для HTTP/3 нужно опубликовать и UDP-порт, а не только TCP: docker run -d -p 80:80 -p 443:443 -p 443:443/udp codeitus/nginx

Основные изменения:

• Функция: управление API.
• Функция: условия по расположениям.
• Функция: модуль ngx_http_json_module.
• Функция: директива «client_body_early_read».
• Исправлена ошибка: use-after-free мог возникать в рабочем процессе, если выполнялось проксирование с использованием буферизации и ошибка возникала при отправке ответа HTTP/2-клиенту.
• Исправлена ошибка: рабочий процесс больше не мог не завершаться или в журналах больше не появлялись оповещения «accept4() failed (9: Bad file descriptor)» при исчерпании файловых дескрипторов до начала планового завершения.
• Исправлена ошибка: запросы к бэкендам FastCGI и uwsgi формировались некорректно, если имя параметра было слишком длинным.
• Исправлены ошибки в HTTP/3, ngx_http_slice_module и ngx_http_memcached_module.

nginx 1.31.4 Mainline с поддержкой HTTP/3 добавлен в репозиторий CodeIT. http2 и ngx_cache_purge встроены, а OpenSSL динамически линкуется с официальным OpenSSL 4.0.1 с поддержкой QUIC. Модуль сжатия Brotli от Google и ngx_http_geoip2 поставляются как динамические модули — в пакетах nginx-module-brotli и nginx-module-geoip2, которые rpm-пакет nginx устанавливает автоматически (зависимость оставлена, чтобы существующие установки обновлялись без потери этих директив; через несколько месяцев мы её уберём, и оба модуля станут полностью необязательными). Пакеты собраны для RHEL, CentOS, AlmaLinux, Rocky Linux и Oracle Linux 7, 8, 9 и 10, а также для Ubuntu 22.04 и 24.04.

Остальные динамические модули собраны отдельно и устанавливаются по желанию: nginx-module-lua вместе с lua-resty-core и lua-resty-lrucache, nginx-module-acme для автоматических сертификатов ACMEv2, nginx-module-njs, nginx-module-perl, nginx-module-xslt и nginx-module-image-filter. Каждый пакет сам добавляет строку load_module в /etc/nginx/modules-enabled, поэтому модуль работает сразу после установки и править nginx.conf вручную не нужно. Lua и ACME собираются для EL9, EL10 и Ubuntu; для EL7 вместо них есть nginx-module-geoip, а njs, Perl, XSLT и image-filter доступны только в rpm.

Тот же выпуск есть на Docker Hub как codeitus/nginx: образ собран на AlmaLinux 9 из этих же пакетов и опубликован для amd64 и arm64:

• самый свежий образ, из того пула, который вышел последним: docker pull codeitus/nginx
• самый свежий образ Mainline: docker pull codeitus/nginx:mainline
• именно этот выпуск: docker pull codeitus/nginx:1.31.4

Для HTTP/3 нужно опубликовать и UDP-порт, а не только TCP: docker run -d -p 80:80 -p 443:443 -p 443:443/udp codeitus/nginx

Основные изменения:

• Feature: директива «proxy_protocol» в модулях stream и mail теперь поддерживает версию 2 протокола PROXY.
• Change: запросы к бэкендам для HTTP/2 и gRPC теперь всегда отправляются с псевдозаголовком «:authority», а запросы HTTP/1.1 — с заголовком «Host».
• Bugfix: в рабочем процессе может возникать аварийное завершение, если использовался метод «select».
• Bugfix: неполные ответы gRPC с строкой заголовка «Content-Length» со значением не нулевым теперь считаются некорректными.
• Bugfix: устранена проблема двоичной совместимости с сторонними модулями, использующими коды сценариев; ошибка возникала в 1.31.3.
• Bugfix: устранена ошибка в модуле ngx_http_perl_module.
• Bugfixes в HTTP/2, HTTP/3, ngx_http_image_filter_module и ngx_http_grpc_module.

В репозиторий добавлен NGINX 1.25.0 mainline с поддержкой HTTP/3, сжатия brotli от Google, http2, ngx cache purge и ngx http geoip2 module. OpenSSL собран динамически с OpenSSL+QUIC (QuicTLS) 3.0.8.

TLS 1.3 final на сегодня работает в Google Chrome 70+ и Mozilla Firefox 63+.

RHEL 7 / CentOS 7:

yum upgrade -y codeit-repo-release
yum-config-manager --disable CodeIT-quic --save
yum-config-manager --enable CodeIT-mainline --save

RHEL 8 / Alma Linux 8 / Rocky Linux 8 / CentOS 8 / Other EL8 репозиторий стал модульным. Для установки надо включить соответствующий стрим:

dnf module reset -y nginx
dnf module enable -y nginx:codeit-mainline

Для включения TLS 1.3 надо указать:

ssl_protocols TLSv1.2 TLSv1.3;

C версии 1.21.6 мы собираем OpenSSL+QUIC 3.0 отдельно, он устанавливается в /lib64 отдельно с суффиксом .so.81.3 и никак не затрагивает системные библиотеки.

С версии 1.25.0 в NGINX появилась экспериментальная поддержка HTTP/3, наши сборки выполняются с поддержкой этого экспериментального модуля (—with-http_v3_module).