[nginx-ru-announce] nginx-1.9.10

[Maxim Dounin]

Изменения в nginx 1.9.10                                          26.01.2016

    *) Безопасность: при использовании директивы resolver во время обработки
       ответов DNS-сервера могло происходить разыменование некорректного
       адреса, что позволяло атакующему, имеющему возможность подделывать
       UDP-пакеты от DNS-сервера, вызвать segmentation fault в рабочем
       процессе (CVE-2016-0742).

    *) Безопасность: при использовании директивы resolver во время обработки
       CNAME-записей могло произойти обращение к ранее освобождённой памяти,
       что позволяло атакующему, имеющему возможность инициировать
       преобразование произвольных имён в адреса, вызвать segmentation fault
       в рабочем процессе, а также потенциально могло иметь другие
       последствия (CVE-2016-0746).

    *) Безопасность: при использовании директивы resolver во время обработки
       CNAME-записей не во всех случаях проверялось ограничение на
       максимальное количество записей в цепочке, что позволяло атакующему,
       имеющему возможность инициировать преобразование произвольных имён в
       адреса, вызвать чрезмерное потребление ресурсов рабочими процессами
       (CVE-2016-0747).

    *) Добавление: параметр auto директивы worker_cpu_affinity.

    *) Исправление: параметр proxy_protocol директивы listen не работал с
       IPv6 listen-сокетами.

    *) Исправление: при использовании директивы keepalive соединения к
       бэкендам могли кэшироваться некорректно.

    *) Исправление: после перенаправления запроса с помощью X-Accel-Redirect
       при проксировании использовался HTTP-метод оригинального запроса.


-- 
Maxim Dounin
http://nginx.org/