Mercurial > hg > nginx-site
changeset 2726:a7a36efd10af
nginx-1.21.0, nginx-1.20.1
author | Maxim Dounin <mdounin@mdounin.ru> |
---|---|
date | Tue, 25 May 2021 18:32:30 +0300 |
parents | 6d082b470918 |
children | 0456ea786ef6 |
files | text/en/CHANGES text/en/CHANGES-1.20 text/ru/CHANGES.ru text/ru/CHANGES.ru-1.20 xml/en/security_advisories.xml xml/index.xml xml/versions.xml |
diffstat | 7 files changed, 96 insertions(+), 1 deletions(-) [+] |
line wrap: on
line diff
--- a/text/en/CHANGES +++ b/text/en/CHANGES @@ -1,4 +1,32 @@ +Changes with nginx 1.21.0 25 May 2021 + + *) Security: 1-byte memory overwrite might occur during DNS server + response processing if the "resolver" directive was used, allowing an + attacker who is able to forge UDP packets from the DNS server to + cause worker process crash or, potentially, arbitrary code execution + (CVE-2021-23017). + + *) Feature: variables support in the "proxy_ssl_certificate", + "proxy_ssl_certificate_key" "grpc_ssl_certificate", + "grpc_ssl_certificate_key", "uwsgi_ssl_certificate", and + "uwsgi_ssl_certificate_key" directives. + + *) Feature: the "max_errors" directive in the mail proxy module. + + *) Feature: the mail proxy module supports POP3 and IMAP pipelining. + + *) Feature: the "fastopen" parameter of the "listen" directive in the + stream module. + Thanks to Anbang Wen. + + *) Bugfix: special characters were not escaped during automatic redirect + with appended trailing slash. + + *) Bugfix: connections with clients in the mail proxy module might be + closed unexpectedly when using SMTP pipelining. + + Changes with nginx 1.19.10 13 Apr 2021 *) Change: the default value of the "keepalive_requests" directive was
--- a/text/en/CHANGES-1.20 +++ b/text/en/CHANGES-1.20 @@ -1,4 +1,13 @@ +Changes with nginx 1.20.1 25 May 2021 + + *) Security: 1-byte memory overwrite might occur during DNS server + response processing if the "resolver" directive was used, allowing an + attacker who is able to forge UDP packets from the DNS server to + cause worker process crash or, potentially, arbitrary code execution + (CVE-2021-23017). + + Changes with nginx 1.20.0 20 Apr 2021 *) 1.20.x stable branch.
--- a/text/ru/CHANGES.ru +++ b/text/ru/CHANGES.ru @@ -1,4 +1,32 @@ +Изменения в nginx 1.21.0 25.05.2021 + + *) Безопасность: при использовании директивы resolver во время обработки + ответа DNS-сервера могла происходить перезапись одного байта памяти, + что позволяло атакующему, имеющему возможность подделывать UDP-пакеты + от DNS-сервера, вызвать падение рабочего процесса или, потенциально, + выполнение произвольного кода (CVE-2021-23017). + + *) Добавление: директивы proxy_ssl_certificate, + proxy_ssl_certificate_key, grpc_ssl_certificate, + grpc_ssl_certificate_key, uwsgi_ssl_certificate и + uwsgi_ssl_certificate_key поддерживают переменные. + + *) Добавление: директива max_errors в почтовом прокси-сервере. + + *) Добавление: почтовый прокси-сервер поддерживает POP3 и IMAP + pipelining. + + *) Добавление: параметр fastopen директивы listen в модуле stream. + Спасибо Anbang Wen. + + *) Исправление: специальные символы не экранировались при автоматическом + перенаправлении с добавлением завершающего слэша. + + *) Исправление: при использовании SMTP pipelining соединения с клиентами + в почтовом прокси-сервере могли неожиданно закрываться. + + Изменения в nginx 1.19.10 13.04.2021 *) Изменение: в директиве keepalive_requests значение по умолчанию
--- a/text/ru/CHANGES.ru-1.20 +++ b/text/ru/CHANGES.ru-1.20 @@ -1,4 +1,13 @@ +Изменения в nginx 1.20.1 25.05.2021 + + *) Безопасность: при использовании директивы resolver во время обработки + ответа DNS-сервера могла происходить перезапись одного байта памяти, + что позволяло атакующему, имеющему возможность подделывать UDP-пакеты + от DNS-сервера, вызвать падение рабочего процесса или, потенциально, + выполнение произвольного кода (CVE-2021-23017). + + Изменения в nginx 1.20.0 20.04.2021 *) Стабильная ветка 1.20.x.
--- a/xml/en/security_advisories.xml +++ b/xml/en/security_advisories.xml @@ -24,6 +24,14 @@ Patches are signed using one of the <security> +<item name="1-byte memory overwrite in resolver" + severity="medium" + cve="2021-23017" + good="1.21.0+, 1.20.1+" + vulnerable="0.6.18-1.20.0"> +<patch name="patch.2021.resolver.txt" /> +</item> + <item name="Excessive CPU usage in HTTP/2 with small window updates" severity="medium" advisory="http://mailman.nginx.org/pipermail/nginx-announce/2019/000249.html"
--- a/xml/index.xml +++ b/xml/index.xml @@ -7,6 +7,18 @@ <news name="nginx news" link="/" lang="en"> +<event date="2021-05-25"> +<para> +<link doc="en/download.xml">nginx-1.20.1</link> +stable and +<link doc="en/download.xml">nginx-1.21.0</link> +mainline versions have been released, +with a fix for the +<link doc="en/security_advisories.xml">1-byte memory overwrite</link> +vulnerability in resolver (CVE-2021-23017). +</para> +</event> + <event date="2021-04-20"> <para> <link doc="en/download.xml">nginx-1.20.0</link>