
<html>

  <head>


    <meta http-equiv="content-type" content="text/html; charset=utf-8">

  </head>

  <body bgcolor="#FFFFFF" text="#000000">

    Hello,<br>

    <br>

    We've recently received a notification regarding a vulnerability in

    OpenSSL: <br>

    OCSP Status Request extension unbounded memory growth

    (CVE-2016-6304)<br>

    This is fixed in OpenSSL v1.0.2i<br>

    <br>

    We're running an Nginx proxy server on Windows 2012 R2 and are

    currently using Nginx 1.9.9 - with OpenSSL 1.0.2e<br>

    We do plan to upgrade to the latest stable nginx-1.10.1, but it

    seems this version for Windows was compiled with OpenSSL 1.0.2<b>h</b>.<br>

    <br>

    Any idea when a new stable or mainline version will come out with

    OpenSSL 1.0.2i support ?<br>

    Alternatively, we're also looking to build a custom 1.10.1 with the

    OpenSSL 1.0.2i library with the instructions here:

    <a class="moz-txt-link-freetext" href="http://nginx.org/en/docs/howto_build_on_win32.html">http://nginx.org/en/docs/howto_build_on_win32.html</a><br>

    But we're not sure if 1.10.1 would support OpenSSL 1.0.2i. Has

    anyone tried this approach before ?<br>

    <br>

    Thanks!<br>

    -Patrick Hernandez<br>

  </body>

</html>