Tag: nginx

nginx 1.31.7 Mainline 已新增到 CodeIT 仓库，支持 HTTP/3。http2 和 ngx_cache_purge 已内置，并且 OpenSSL 动态链接官方 OpenSSL 4.0.3，支持 QUIC。Google 的 Brotli 压缩模块和 ngx_http_geoip2 以动态模块形式提供，位于 nginx-module-brotli 和 nginx-module-geoip2 软件包中，两者均为可选，与其余 nginx-module-* 模块一样。这些软件包适用于 RHEL、CentOS、AlmaLinux、Rocky Linux 和 Oracle Linux 7、8、9 和 10，以及 Ubuntu 22.04 和 24.04。

本次更新修复了安全漏洞，建议尽快升级。

其余动态模块单独打包，可按需安装：nginx-module-lua（配合 lua-resty-core 和 lua-resty-lrucache）、nginx-module-acme（自动申请 ACMEv2 证书）、nginx-module-njs、nginx-module-perl、nginx-module-xslt 和 nginx-module-image-filter。每个软件包都会在 /etc/nginx/modules-enabled 中写入自己的 load_module 指令，安装后即可生效，无需手动修改 nginx.conf。Lua 和 ACME 为 EL9、EL10 和 Ubuntu 构建；EL7 改为提供 nginx-module-geoip，而 njs、Perl、XSLT 和 image-filter 仅有 rpm 版本。

同一版本也发布到 Docker Hub 的 codeitus/nginx：镜像基于 AlmaLinux 9，由这些软件包构建，并同时提供 amd64 和 arm64：

• 最新镜像，来自最后发布的那个分支：docker pull codeitus/nginx
• 最新的 Mainline 镜像：docker pull codeitus/nginx:mainline
• 本次发布的确切版本：docker pull codeitus/nginx:1.31.7

HTTP/3 还需要发布 UDP 端口，而不只是 TCP 端口：docker run -d -p 80:80 -p 443:443 -p 443:443/udp codeitus/nginx

主要变更：

• Feature: ngx_http_geoip_module 和 ngx_stream_geoip_module 现在支持 MaxMind DB（MMDB）格式的数据库。
• Feature：现在可以按 IP 地址验证后端 SSL 证书。
• Feature：使用指令 “quic_bpf” 时，QUIC 现在支持重新配置和二进制升级。
• Change：ngx_http_v2_module 现在使用 RFC 9218 的优先级方案，并忽略 RFC 7540 的优先级信号。
• Bugfix：如果缓存了 “X-Accel-Redirect” 标头行，随后将缓存的响应提供给客户端，可能会在工作进程中发生段错误，或在日志中出现 “request count is zero” 告警。
• Bugfix：如果使用 ngx_http_dav_module 在带有 “alias” 指令的 location 中处理 COPY 和 MOVE 方法，可能会在工作进程中发生段错误。
• Bugfix：如果将 “http3_stream_buffer_size” 指令设置为较小的值，QUIC 连接可能会以日志中的 “quic flood detected” 消息关闭；该问题曾在 1.27.5 中出现。
• Bugfix：在不发送 close_notify 的情况下关闭 SSL 连接会被视为正常关闭，包括连接被重置的情况；现在在这种情况下日志中会出现 “SSL_read() failed” 错误。
• Bugfix：当在从 SSL 连接读取时发生错误，日志中可能出现 “[crit] SSL_write() failed” 消息。

修复的漏洞：

• Security：如果请求 URI 通过 “rewrite” 指令被修改，然后再映射到文件路径，使用 “alias” 指令时可能会在工作进程中发生缓冲区溢出（CVE-2026-15176）。
• Security：在对带有变量的字符串表达式进行求值时，可能会在工作进程中发生缓冲区溢出，从而影响 http 和 stream 模块中的文档根目录计算以及请求日志记录（CVE-2026-93479）。
• Security：使用 HTTP/3 时，未知帧的一部分可能会被当作请求正文处理，从而可能绕过 “client_max_body_size” 限制，或向代理请求中注入数据（CVE-2026-95101）。
• Security：使用 TLS 会话票据密钥轮换时，其中一个密钥未初始化，这可能允许伪造会话（CVE-2026-97629）。
• Security：使用异步文件 I/O（AIO）时，如果 SSI 页面包含 “include virtual” 命令，在某些配置中可能会发生 use-after-free（CVE-2026-97205）。

nginx 1.30.6 Stable 已新增到 CodeIT 仓库，支持 HTTP/3。http2 和 ngx_cache_purge 已内置，并且 OpenSSL 动态链接官方 OpenSSL 4.0.3，支持 QUIC。Google 的 Brotli 压缩模块和 ngx_http_geoip2 以动态模块形式提供，位于 nginx-module-brotli 和 nginx-module-geoip2 软件包中，两者均为可选，与其余 nginx-module-* 模块一样。这些软件包适用于 RHEL、CentOS、AlmaLinux、Rocky Linux 和 Oracle Linux 7、8、9 和 10，以及 Ubuntu 22.04 和 24.04。

本次更新修复了安全漏洞，建议尽快升级。

其余动态模块单独打包，可按需安装：nginx-module-lua（配合 lua-resty-core 和 lua-resty-lrucache）、nginx-module-acme（自动申请 ACMEv2 证书）、nginx-module-njs、nginx-module-perl、nginx-module-xslt 和 nginx-module-image-filter。每个软件包都会在 /etc/nginx/modules-enabled 中写入自己的 load_module 指令，安装后即可生效，无需手动修改 nginx.conf。Lua 和 ACME 为 EL9、EL10 和 Ubuntu 构建；EL7 改为提供 nginx-module-geoip，而 njs、Perl、XSLT 和 image-filter 仅有 rpm 版本。

同一版本也发布到 Docker Hub 的 codeitus/nginx：镜像基于 AlmaLinux 9，由这些软件包构建，并同时提供 amd64 和 arm64：

• 最新镜像，来自最后发布的那个分支：docker pull codeitus/nginx
• 最新的 Stable 镜像：docker pull codeitus/nginx:stable
• 本次发布的确切版本：docker pull codeitus/nginx:1.30.6

HTTP/3 还需要发布 UDP 端口，而不只是 TCP 端口：docker run -d -p 80:80 -p 443:443 -p 443:443/udp codeitus/nginx

主要变更：

• Change：将 SSL 错误 “invalid alert” 和 “record layer failure” 的日志级别，以及任意告警编号对应的 “SSL alert number N” 的日志级别，从 “crit” 降低到 “info”。
• Bugfix：在工作进程中可能出现段错误；如果已缓存 “X-Accel-Redirect” 标头行，并随后将缓存的响应提供给客户端，则日志中可能出现 “request count is zero” 告警。
• Bugfix：如果在位置中使用了带有 “alias” 指令的设置，并且通过 ngx_http_dav_module 来处理 COPY 和 MOVE 方法，则工作进程中可能出现段错误。
• Bugfix：如果使用了带 “ranges” 参数的 “geo” 指令，并且相应的二进制基线文件已损坏，则读取配置时可能出现段错误。
• Bugfix：如果使用了带缓冲的代理，并且在向 HTTP/2 客户端发送响应时发生错误，则工作进程中可能出现 use-after-free 问题。
• Bugfix：如果工作进程在执行 graceful shutdown 之前耗尽了文件描述符，工作进程可能无法退出，且日志中可能出现 “accept4() failed (9: Bad file descriptor)” 告警。
• Bugfix：如果使用了 “select” 方法，则工作进程中可能出现段错误。
• Bugfix：修复了与使用脚本代码的第三方模块之间的二进制兼容性问题；该问题曾在 1.30.4 中出现。
• Bugfix：在 ngx_http_perl_module 中。
• Bugfix：在 ngx_http_v2_module 的流量控制中。
• Bugfix：如果在 ngx_http_proxy_v2_module 中使用了 “proxy_cache_revalidate” 指令，在发送缓存的 HTTP/2 响应时，可能会在日志中出现 “[error] upstream sent frame for unknown stream” 和 “[crit] cache file … contains invalid header” 消息。
• Bugfix：在某些操作系统上使用 QUIC 时，IPv6 分片可能不会被禁用。
• Bugfix：在 Solaris 上的 ngx_http_auth_basic_module 中。
• Bugfixes：HTTP/3、ngx_http_image_filter_module、ngx_http_slice_module 和 ngx_http_memcached_module 中的修复。

修复的漏洞：

• Security：当使用 “alias” 指令时，如果请求 URI 由 “rewrite” 指令进行了修改，然后再映射到文件路径，则在工作进程中可能出现缓冲区溢出（CVE-2026-15176）。
• Security：在使用变量来评估字符串表达式时，工作进程中可能出现缓冲区溢出，这会影响 http 和 stream 模块中的 document root 计算以及请求日志记录（CVE-2026-93479）。
• Security：使用 HTTP/3 时，未知帧的一部分可能会被当作请求体处理，从而可能绕过 “client_max_body_size” 限制或向被代理的请求中注入数据（CVE-2026-95101）。
• Security：使用 TLS 会话票据密钥轮换时，其中一个密钥可能未初始化，这可能允许伪造会话（CVE-2026-97629）。
• Security：当使用异步文件 I/O（AIO）时，如果 SSI 页面包含 “include virtual” 命令，则在某些配置中可能出现 use-after-free（CVE-2026-97205）。

nginx 1.31.6 Mainline 已新增到 CodeIT 仓库，支持 HTTP/3。http2 和 ngx_cache_purge 已内置，并且 OpenSSL 动态链接官方 OpenSSL 4.0.2，支持 QUIC。Google 的 Brotli 压缩模块和 ngx_http_geoip2 以动态模块形式提供，位于 nginx-module-brotli 和 nginx-module-geoip2 软件包中，nginx rpm 会自动安装它们（保留该依赖是为了让现有安装在升级时不丢失相关指令；几个月后我们会移除它，这两个模块将变为完全可选）。这些软件包适用于 RHEL、CentOS、AlmaLinux、Rocky Linux 和 Oracle Linux 7、8、9 和 10，以及 Ubuntu 22.04 和 24.04。

本次更新修复了安全漏洞，建议尽快升级。

其余动态模块单独打包，可按需安装：nginx-module-lua（配合 lua-resty-core 和 lua-resty-lrucache）、nginx-module-acme（自动申请 ACMEv2 证书）、nginx-module-njs、nginx-module-perl、nginx-module-xslt 和 nginx-module-image-filter。每个软件包都会在 /etc/nginx/modules-enabled 中写入自己的 load_module 指令，安装后即可生效，无需手动修改 nginx.conf。Lua 和 ACME 为 EL9、EL10 和 Ubuntu 构建；EL7 改为提供 nginx-module-geoip，而 njs、Perl、XSLT 和 image-filter 仅有 rpm 版本。

同一版本也发布到 Docker Hub 的 codeitus/nginx：镜像基于 AlmaLinux 9，由这些软件包构建，并同时提供 amd64 和 arm64：

• 最新镜像，来自最后发布的那个分支：docker pull codeitus/nginx
• 最新的 Mainline 镜像：docker pull codeitus/nginx:mainline
• 本次发布的确切版本：docker pull codeitus/nginx:1.31.6

HTTP/3 还需要发布 UDP 端口，而不只是 TCP 端口：docker run -d -p 80:80 -p 443:443 -p 443:443/udp codeitus/nginx

主要变更：

• 变更：在 SSL 连接中接收到的 QUIC 传输参数扩展现在总是会被忽略。
• 漏洞修复：如果指定了 control API socket，并且新的 nginx 可执行文件在使用 ngx_http_perl_module 模块构建时，二进制升级将无法工作。
• 漏洞修复：在谓词 location 中评估谓词时发生的错误会被忽略，且该谓词会被当作 false 处理。
• 漏洞修复：在查找嵌套 location 时发生的错误在配置了当前级别的由正则表达式或谓词给出的 locations 时，可能会被忽略。
• 漏洞修复：读取配置时可能会发生段错误，如果使用了带有 “ranges” 参数的 “geo” 指令，并且对应的二进制基准文件已损坏。

修复的漏洞：

• 安全性：在特定配置下，使用 HTTP/3 且 OpenSSL 为 3.5.0 及更早版本时，工作进程中可能会发生堆内存缓冲区溢出（CVE-2026-90439）。

nginx 1.30.5 Stable 已新增到 CodeIT 仓库，支持 HTTP/3。http2 和 ngx_cache_purge 已内置，并且 OpenSSL 动态链接官方 OpenSSL 4.0.2，支持 QUIC。Google 的 Brotli 压缩模块和 ngx_http_geoip2 以动态模块形式提供，位于 nginx-module-brotli 和 nginx-module-geoip2 软件包中，nginx rpm 会自动安装它们（保留该依赖是为了让现有安装在升级时不丢失相关指令；几个月后我们会移除它，这两个模块将变为完全可选）。这些软件包适用于 RHEL、CentOS、AlmaLinux、Rocky Linux 和 Oracle Linux 7、8、9 和 10，以及 Ubuntu 22.04 和 24.04。

本次更新修复了安全漏洞，建议尽快升级。

其余动态模块单独打包，可按需安装：nginx-module-lua（配合 lua-resty-core 和 lua-resty-lrucache）、nginx-module-acme（自动申请 ACMEv2 证书）、nginx-module-njs、nginx-module-perl、nginx-module-xslt 和 nginx-module-image-filter。每个软件包都会在 /etc/nginx/modules-enabled 中写入自己的 load_module 指令，安装后即可生效，无需手动修改 nginx.conf。Lua 和 ACME 为 EL9、EL10 和 Ubuntu 构建；EL7 改为提供 nginx-module-geoip，而 njs、Perl、XSLT 和 image-filter 仅有 rpm 版本。

同一版本也发布到 Docker Hub 的 codeitus/nginx：镜像基于 AlmaLinux 9，由这些软件包构建，并同时提供 amd64 和 arm64：

• 最新镜像，来自最后发布的那个分支：docker pull codeitus/nginx
• 最新的 Stable 镜像：docker pull codeitus/nginx:stable
• 本次发布的确切版本：docker pull codeitus/nginx:1.30.5

HTTP/3 还需要发布 UDP 端口，而不只是 TCP 端口：docker run -d -p 80:80 -p 443:443 -p 443:443/udp codeitus/nginx

主要变更：

• Change: 现在在 SSL 连接中收到的 QUIC 传输参数扩展会始终被忽略。

修复的漏洞：

• Security: 在使用 HTTP/3 且使用 OpenSSL 3.5.0 及更早版本并且特定配置下，工作进程中可能会发生堆内存缓冲区溢出（CVE-2026-90439）。

nginx 1.31.5 Mainline 已新增到 CodeIT 仓库，支持 HTTP/3。http2 和 ngx_cache_purge 已内置，并且 OpenSSL 动态链接官方 OpenSSL 4.0.2，支持 QUIC。Google 的 Brotli 压缩模块和 ngx_http_geoip2 以动态模块形式提供，位于 nginx-module-brotli 和 nginx-module-geoip2 软件包中，nginx rpm 会自动安装它们（保留该依赖是为了让现有安装在升级时不丢失相关指令；几个月后我们会移除它，这两个模块将变为完全可选）。这些软件包适用于 RHEL、CentOS、AlmaLinux、Rocky Linux 和 Oracle Linux 7、8、9 和 10，以及 Ubuntu 22.04 和 24.04。

其余动态模块单独打包，可按需安装：nginx-module-lua（配合 lua-resty-core 和 lua-resty-lrucache）、nginx-module-acme（自动申请 ACMEv2 证书）、nginx-module-njs、nginx-module-perl、nginx-module-xslt 和 nginx-module-image-filter。每个软件包都会在 /etc/nginx/modules-enabled 中写入自己的 load_module 指令，安装后即可生效，无需手动修改 nginx.conf。Lua 和 ACME 为 EL9、EL10 和 Ubuntu 构建；EL7 改为提供 nginx-module-geoip，而 njs、Perl、XSLT 和 image-filter 仅有 rpm 版本。

同一版本也发布到 Docker Hub 的 codeitus/nginx：镜像基于 AlmaLinux 9，由这些软件包构建，并同时提供 amd64 和 arm64：

• 最新镜像，来自最后发布的那个分支：docker pull codeitus/nginx
• 最新的 Mainline 镜像：docker pull codeitus/nginx:mainline
• 本次发布的确切版本：docker pull codeitus/nginx:1.31.5

HTTP/3 还需要发布 UDP 端口，而不只是 TCP 端口：docker run -d -p 80:80 -p 443:443 -p 443:443/udp codeitus/nginx

主要变更：

• 功能：控制 API。
• 功能：谓词位置。
• 功能：ngx_http_json_module 模块。
• 功能：”client_body_early_read” 指令。
• Bugfix：如果在对 HTTP/2 客户端发送响应时使用了带缓冲的 proxy 且发生了错误，工作进程中可能会出现 use-after-free。
• Bugfix：如果工作进程在进行优雅关闭之前先耗尽了文件描述符，那么工作进程可能不会退出，日志中也可能出现 “accept4() failed (9: Bad file descriptor)” 告警。
• Bugfix：当参数名过长时，向 FastCGI 和 uwsgi 后端发送的请求会被构造为无效格式。
• 修复了 HTTP/3、ngx_http_slice_module 和 ngx_http_memcached_module 中的问题。

nginx 1.31.4 Mainline 已新增到 CodeIT 仓库，支持 HTTP/3。http2 和 ngx_cache_purge 已内置，并且 OpenSSL 动态链接官方 OpenSSL 4.0.1，支持 QUIC。Google 的 Brotli 压缩模块和 ngx_http_geoip2 以动态模块形式提供，位于 nginx-module-brotli 和 nginx-module-geoip2 软件包中，nginx rpm 会自动安装它们（保留该依赖是为了让现有安装在升级时不丢失相关指令；几个月后我们会移除它，这两个模块将变为完全可选）。这些软件包适用于 RHEL、CentOS、AlmaLinux、Rocky Linux 和 Oracle Linux 7、8、9 和 10，以及 Ubuntu 22.04 和 24.04。

其余动态模块单独打包，可按需安装：nginx-module-lua（配合 lua-resty-core 和 lua-resty-lrucache）、nginx-module-acme（自动申请 ACMEv2 证书）、nginx-module-njs、nginx-module-perl、nginx-module-xslt 和 nginx-module-image-filter。每个软件包都会在 /etc/nginx/modules-enabled 中写入自己的 load_module 指令，安装后即可生效，无需手动修改 nginx.conf。Lua 和 ACME 为 EL9、EL10 和 Ubuntu 构建；EL7 改为提供 nginx-module-geoip，而 njs、Perl、XSLT 和 image-filter 仅有 rpm 版本。

同一版本也发布到 Docker Hub 的 codeitus/nginx：镜像基于 AlmaLinux 9，由这些软件包构建，并同时提供 amd64 和 arm64：

• 最新镜像，来自最后发布的那个分支：docker pull codeitus/nginx
• 最新的 Mainline 镜像：docker pull codeitus/nginx:mainline
• 本次发布的确切版本：docker pull codeitus/nginx:1.31.4

HTTP/3 还需要发布 UDP 端口，而不只是 TCP 端口：docker run -d -p 80:80 -p 443:443 -p 443:443/udp codeitus/nginx

主要变更：

• Feature: stream 和 mail 模块中的 “proxy_protocol” 指令现在支持 PROXY 协议版本 2。
• Change: 现在对后端的 HTTP/2 和 gRPC 请求总是使用伪首部 “:authority” 发送，而对后端的 HTTP/1.1 请求则使用 “Host” 首部发送。
• Bugfix: 如果使用了 “select” 方法，工作进程中可能会发生段错误。
• Bugfix: 具有非零 “Content-Length” 首部行的、不完整的 gRPC 响应现在会被视为格式错误。
• Bugfix: 修复了与使用脚本代码的第三方模块的二进制兼容性问题；该问题出现在 1.31.3 中。
• Bugfix: 在 ngx_http_perl_module 中。
• Bugfixes 于 HTTP/2、HTTP/3、ngx_http_image_filter_module 和 ngx_http_grpc_module。