Nginx官方于2022年10月19日发布了1.22稳定版的第一个分支版本:1.22.1。
根据官方对于此版本的修改说明,可以发现该版本修复了一个安全漏洞(风险等级:中等),在使用ngx_http_mp4_module模块来处理一个特别构造的mp4文件时,可能会引发一个工作进程(worker_process)出现崩溃。
Changes with nginx 1.22.1 19 Oct 2022
*) Security: processing of a specially crafted mp4 file by the
ngx_http_mp4_module might cause a worker process crash, worker
process memory disclosure, or might have potential other impact
(CVE-2022-41741, CVE-2022-41742).
该模块(ngx_http_mp4_module)默认是不安装的,需要在编译时候增加--with-http_mp4_module参数来配置和开启。
受影响版本说明:在编译时使用了--with-http_mp4_module参数,且版本低于1.22.1(稳定版)、1.23.2(开发版)。
安全版本: 1.23.2+, 1.22.1+
受影响版本: 1.1.3-1.23.1, 1.0.7-1.0.15
官方最新安全稳定版下载地址:
CHANGES-1.22 | nginx-1.22.1 pgp | nginx/Windows-1.22.1 pgp |