nginx security advisory (CVE-2021-23017)

Hello! В nginx resolver была обнаружена ошибка, которая позволяла с помощью специально созданного DNS-ответа вызвать перезапись одного байта памяти, что в свою очередь могло вызвать крах рабочего процесса, а также потенциально могло приводить к выполнению произвольного кода (CVE-2021-23017).

[nginx-ru-announce] nginx security advisory (CVE-2021-23017)

Hello! В nginx resolver была обнаружена ошибка, которая позволяла с помощью специально созданного DNS-ответа вызвать перезапись одного байта памяти, что в свою очередь могло вызвать крах рабочего процесса, а также потенциально могло приводить к выполнению произвольного кода (CVE-2021-23017).

[nginx-ru-announce] nginx-1.20.1

Изменения в nginx 1.20.1 25.05.2021 *) Безопасность: при использовании директивы resolver во время обработки ответа DNS-сервера могла происходить перезапись одного байта памяти, что позволяло атакующему, имеющему возможность подделывать

[nginx-ru-announce] nginx-1.21.0

Изменения в nginx 1.21.0 25.05.2021 *) Безопасность: при использовании директивы resolver во время обработки ответа DNS-сервера могла происходить перезапись одного байта памяти, что позволяло атакующему, имеющему возможность подделывать

nginx-1.20.1

Изменения в nginx 1.20.1 25.05.2021 *) Безопасность: при использовании директивы resolver во время обработки ответа DNS-сервера могла происходить перезапись одного байта памяти, что позволяло атакующему, имеющему возможность подделывать

nginx-1.21.0

Изменения в nginx 1.21.0 25.05.2021 *) Безопасность: при использовании директивы resolver во время обработки ответа DNS-сервера могла происходить перезапись одного байта памяти, что позволяло атакующему, имеющему возможность подделывать

Re: add_header

Hello! On Tue, May 25, 2021 at 04:42:29PM +0300, Gena Makhomed wrote: > On 25.05.2021 15:01, Maxim Dounin wrote: > > > Возможно, когда-нибудь добавится концепция "явно унаследовать > > список с предыдущего уровня и дать возможность дополнить его", > > что-нибудь вроде > > > > add_header

Re: add_header

вт, 25 мая 2021 г. в 18:42, Gena Makhomed : > On 25.05.2021 15:01, Maxim Dounin wrote: > > > Возможно, когда-нибудь добавится концепция "явно унаследовать > > список с предыдущего уровня и дать возможность дополнить его", > > что-нибудь вроде > > > > add_header inherit; > > add_header

add_header

On 25.05.2021 15:01, Maxim Dounin wrote: Возможно, когда-нибудь добавится концепция "явно унаследовать список с предыдущего уровня и дать возможность дополнить его", что-нибудь вроде add_header inherit; add_header Foo bar; Что по сути аналогично использованию include-файла, но чуть

Re: Configuring nginx to retry a single upstream server

Hello! On Tue, May 25, 2021 at 12:15:54PM +0300, Gena Makhomed wrote: > On 24.05.2021 6:05, Maxim Dounin wrote: > > >>> Можете поставить haproxy - он как раз будет держать клиента секунд 10, > >>> пока бекэнды перезагружаются. Браузеру придётся ждать эти 10 секунд, > >>> но зато он не получит

Re: How to write $upstream_trailer_{name} into access.log

Hello! On Tue, May 25, 2021 at 11:07:38AM +0300, Gena Makhomed wrote: [...] > Остается только одна небольшая проблема - если в server или в location > присутствуют свои директивы add_header, то там надо будет продублировать > вручную эти две директивы add_header с уровня http. Традиционное

Re: Configuring nginx to retry a single upstream server

On Tue, May 25, 2021 at 12:15:54PM +0300, Gena Makhomed wrote: > >Но вообще если перезапуск php-бэкенда под боевой нагрузкой > >считается нормальным рабочим действием, то браузер так или иначе > >имеет шанс получить неполный ответ же. Пытаться в подобной > >ситуации ещё и ошибки обрабатывать - как

Re: Configuring nginx to retry a single upstream server

On 24.05.2021 6:05, Maxim Dounin wrote: Можете поставить haproxy - он как раз будет держать клиента секунд 10, пока бекэнды перезагружаются. Браузеру придётся ждать эти 10 секунд, но зато он не получит 5хх ошибку. Могу поставить haproxy, но haproxy - это не веб-сервер, он не умеет отдавать

Re: How to write $upstream_trailer_{name} into access.log

On 24.05.2021 4:19, Maxim Dounin wrote: add_trailer X-Response-Time $upstream_response_time always; add_trailer X-Cache-Status $upstream_cache_status always; Чтение трейлеров от бэкендов сейчас поддерживается только для gRPC-бэкендов. Если хочется, чтобы работало и для HTTP/1.1 с chunked -