[B]Обновление bx-nginx с устранением уязвимости[/B]
Коллеги, пакет bx-nginx сформирован и вышел в релиз [B]без[/B] выпуска виртуальной машины VMBitrix.
Обновлением 1.30.3 устраняем 3 уязвимости, две из которых имеют критический уровень опасности:
[LIST]
[*]CVE-2026-42530: [B]критично[/B], обращение к уже освобождённой памяти (use-after-free) в реализации протокола HTTP/3. Проблеме присвоен критический уровень опасности (9.2 из 10), не исключающий удалённое выполнение кода с правами рабочего процесса при обработке специально оформленного сеанса по протоколу QUIC
[*]CVE-2026-42055: [B]критично[/B], переполнение буфера в модулях ngx_http_proxy_v2_module и ngx_http_grpc_module, проявляющееся при проксировании специально оформленных запросов по протоколу HTTP/2 или к бэкенду gRPC. Проблеме присвоен критический уровень опасности (9.2 из 10), допускающий удалённое выполнение кода. Уязвимость проявляется в конфигурациях с настройкой "ignore_invalid_headers off;" и большим значением "large_client_header_buffers".
[*]CVE-2026-48142: чтение из области вне выделенного буфера при обработке специально оформленных запросов, приводящих к перекодированию текста в кодировке UTF-8 при помощи модуля ngx_http_charset_module. Уязвимость появляется в конфигурациях с директивой "charset_map" при наличии в блоке location директив "source_charset utf-8" и "charset другая_кодировка". Проблеме присвоен средний уровень опасности (6.3 из 10), допускающий утечку содержимого памяти рабочего процесса.
[/LIST][B][COLOR=#ff0000]Обязательно[/COLOR] обновите ваши виртуальные машины![/B]
[B]Обновление ПО:[/B]
nginx 1.30.3
[B]Основные исправления:[/B]
nginx обновлен до 1.30.3 (пакет bx-nginx 1.30.3), openssl до 3.5.7.
[B]Исходники пакета:[/B]
Добавляем файл для репозитория исходных версий [I]/etc/yum.repos.d/bitrix-source-9.repo[/I] с содержимым:
[CODE][bitrix-source-9]
name=Bitrix Packages Source for Enterprise Linux 9 - x86_64
baseurl=https://repo.bitrix24.tech/dnf/SRPMS
enabled=1
gpgcheck=1
priority=1
failovermethod=priority
gpgkey=https://repo.bitrix24.tech/dnf/RPM-GPG-KEY-BitrixEnv-9[/CODE]
Убедимся что есть пакеты dnf-utils и yum-utils:
[CODE]dnf clean all && dnf install -y dnf-utils yum-utils[/CODE]
Скачиваем исходники: bx-nginx
[CODE]yumdownloader --source bx-nginx[/CODE]
Примерный ответ в консоли:
[CODE][root@localhost ~]# yumdownloader --source bx-nginx
enabling epel-source repository
enabling epel-cisco-openh264-source repository
enabling rpmfusion-free-updates-source repository
enabling rpmfusion-nonfree-updates-source repository
Extra Packages for Enterprise Linux 9 - x86_64 - Source 2.0 MB/s | 4.3 MB 00:02
RPM Fusion for EL 9 - Free - Updates Source 21 kB/s | 21 kB 00:00
RPM Fusion for EL 9 - Nonfree - Updates Source 16 kB/s | 14 kB 00:00
bx-nginx-1.30.3-0.el9.src.rpm 5.9 MB/s | 118 MB 00:20
[root@localhost ~]#[/CODE]
Всем удачи. Спасибо за обратную связь!
Коллеги, пакет bx-nginx сформирован и вышел в релиз [B]без[/B] выпуска виртуальной машины VMBitrix.
Обновлением 1.30.3 устраняем 3 уязвимости, две из которых имеют критический уровень опасности:
[LIST]
[*]CVE-2026-42530: [B]критично[/B], обращение к уже освобождённой памяти (use-after-free) в реализации протокола HTTP/3. Проблеме присвоен критический уровень опасности (9.2 из 10), не исключающий удалённое выполнение кода с правами рабочего процесса при обработке специально оформленного сеанса по протоколу QUIC
[*]CVE-2026-42055: [B]критично[/B], переполнение буфера в модулях ngx_http_proxy_v2_module и ngx_http_grpc_module, проявляющееся при проксировании специально оформленных запросов по протоколу HTTP/2 или к бэкенду gRPC. Проблеме присвоен критический уровень опасности (9.2 из 10), допускающий удалённое выполнение кода. Уязвимость проявляется в конфигурациях с настройкой "ignore_invalid_headers off;" и большим значением "large_client_header_buffers".
[*]CVE-2026-48142: чтение из области вне выделенного буфера при обработке специально оформленных запросов, приводящих к перекодированию текста в кодировке UTF-8 при помощи модуля ngx_http_charset_module. Уязвимость появляется в конфигурациях с директивой "charset_map" при наличии в блоке location директив "source_charset utf-8" и "charset другая_кодировка". Проблеме присвоен средний уровень опасности (6.3 из 10), допускающий утечку содержимого памяти рабочего процесса.
[/LIST][B][COLOR=#ff0000]Обязательно[/COLOR] обновите ваши виртуальные машины![/B]
[B]Обновление ПО:[/B]
nginx 1.30.3
[B]Основные исправления:[/B]
nginx обновлен до 1.30.3 (пакет bx-nginx 1.30.3), openssl до 3.5.7.
[B]Исходники пакета:[/B]
Добавляем файл для репозитория исходных версий [I]/etc/yum.repos.d/bitrix-source-9.repo[/I] с содержимым:
[CODE][bitrix-source-9]
name=Bitrix Packages Source for Enterprise Linux 9 - x86_64
baseurl=https://repo.bitrix24.tech/dnf/SRPMS
enabled=1
gpgcheck=1
priority=1
failovermethod=priority
gpgkey=https://repo.bitrix24.tech/dnf/RPM-GPG-KEY-BitrixEnv-9[/CODE]
Убедимся что есть пакеты dnf-utils и yum-utils:
[CODE]dnf clean all && dnf install -y dnf-utils yum-utils[/CODE]
Скачиваем исходники: bx-nginx
[CODE]yumdownloader --source bx-nginx[/CODE]
Примерный ответ в консоли:
[CODE][root@localhost ~]# yumdownloader --source bx-nginx
enabling epel-source repository
enabling epel-cisco-openh264-source repository
enabling rpmfusion-free-updates-source repository
enabling rpmfusion-nonfree-updates-source repository
Extra Packages for Enterprise Linux 9 - x86_64 - Source 2.0 MB/s | 4.3 MB 00:02
RPM Fusion for EL 9 - Free - Updates Source 21 kB/s | 21 kB 00:00
RPM Fusion for EL 9 - Nonfree - Updates Source 16 kB/s | 14 kB 00:00
bx-nginx-1.30.3-0.el9.src.rpm 5.9 MB/s | 118 MB 00:20
[root@localhost ~]#[/CODE]
Всем удачи. Спасибо за обратную связь!
