# HG changeset patch # User Maxim Dounin # Date 1410873627 -14400 # Node ID bb18e3bd3fb9e65841057ba3f646ceb5f1a8be73 # Parent d7740f42b00aac94de64cf72e009290a835439d8 nginx-1.7.5, nginx-1.6.2 diff -r d7740f42b00a -r bb18e3bd3fb9 text/en/CHANGES --- a/text/en/CHANGES Tue Sep 16 12:27:55 2014 +0400 +++ b/text/en/CHANGES Tue Sep 16 17:20:27 2014 +0400 @@ -1,4 +1,46 @@ +Changes with nginx 1.7.5 16 Sep 2014 + + *) Security: it was possible to reuse SSL sessions in unrelated contexts + if a shared SSL session cache or the same TLS session ticket key was + used for multiple "server" blocks (CVE-2014-3616). + Thanks to Antoine Delignat-Lavaud. + + *) Change: now the "stub_status" directive does not require a parameter. + + *) Feature: the "always" parameter of the "add_header" directive. + + *) Feature: the "proxy_next_upstream_tries", + "proxy_next_upstream_timeout", "fastcgi_next_upstream_tries", + "fastcgi_next_upstream_timeout", "memcached_next_upstream_tries", + "memcached_next_upstream_timeout", "scgi_next_upstream_tries", + "scgi_next_upstream_timeout", "uwsgi_next_upstream_tries", and + "uwsgi_next_upstream_timeout" directives. + + *) Bugfix: in the "if" parameter of the "access_log" directive. + + *) Bugfix: in the ngx_http_perl_module. + Thanks to Piotr Sikora. + + *) Bugfix: the "listen" directive of the mail proxy module did not allow + to specify more than two parameters. + + *) Bugfix: the "sub_filter" directive did not work with a string to + replace consisting of a single character. + + *) Bugfix: requests might hang if resolver was used and a timeout + occurred during a DNS request. + + *) Bugfix: in the ngx_http_spdy_module when using with AIO. + + *) Bugfix: a segmentation fault might occur in a worker process if the + "set" directive was used to change the "$http_...", "$sent_http_...", + or "$upstream_http_..." variables. + + *) Bugfix: in memory allocation error handling. + Thanks to Markus Linnala and Feng Gu. + + Changes with nginx 1.7.4 05 Aug 2014 *) Security: pipelined commands were not discarded after STARTTLS diff -r d7740f42b00a -r bb18e3bd3fb9 text/en/CHANGES-1.6 --- a/text/en/CHANGES-1.6 Tue Sep 16 12:27:55 2014 +0400 +++ b/text/en/CHANGES-1.6 Tue Sep 16 17:20:27 2014 +0400 @@ -1,4 +1,18 @@ +Changes with nginx 1.6.2 16 Sep 2014 + + *) Security: it was possible to reuse SSL sessions in unrelated contexts + if a shared SSL session cache or the same TLS session ticket key was + used for multiple "server" blocks (CVE-2014-3616). + Thanks to Antoine Delignat-Lavaud. + + *) Bugfix: requests might hang if resolver was used and a DNS server + returned a malformed response; the bug had appeared in 1.5.8. + + *) Bugfix: requests might hang if resolver was used and a timeout + occurred during a DNS request. + + Changes with nginx 1.6.1 05 Aug 2014 *) Security: pipelined commands were not discarded after STARTTLS diff -r d7740f42b00a -r bb18e3bd3fb9 text/ru/CHANGES.ru --- a/text/ru/CHANGES.ru Tue Sep 16 12:27:55 2014 +0400 +++ b/text/ru/CHANGES.ru Tue Sep 16 17:20:27 2014 +0400 @@ -1,4 +1,49 @@ +Изменения в nginx 1.7.5 16.09.2014 + + *) Безопасность: при использовании общего для нескольких блоков server + разделяемого кэша SSL-сессий или общего ключа для шифрования TLS + session tickets было возможно повторно использовать SSL-сессию в + контексте другого блока server (CVE-2014-3616). + Спасибо Antoine Delignat-Lavaud. + + *) Изменение: директиву stub_status теперь можно указывать без + параметров. + + *) Добавление: параметр always директивы add_header. + + *) Добавление: директивы proxy_next_upstream_tries, + proxy_next_upstream_timeout, fastcgi_next_upstream_tries, + fastcgi_next_upstream_timeout, memcached_next_upstream_tries, + memcached_next_upstream_timeout, scgi_next_upstream_tries, + scgi_next_upstream_timeout, uwsgi_next_upstream_tries и + uwsgi_next_upstream_timeout. + + *) Исправление: в параметре if директивы access_log. + + *) Исправление: в модуле ngx_http_perl_module. + Спасибо Piotr Sikora. + + *) Исправление: директива listen почтового прокси-сервера не позволяла + указать более двух параметров. + + *) Исправление: директива sub_filter не работала с заменяемой строкой из + одного символа. + + *) Исправление: запросы могли зависать, если использовался resolver и в + процессе обращения к DNS-серверу происходил таймаут. + + *) Исправление: в модуле ngx_http_spdy_module при использовании + совместно с AIO. + + *) Исправление: в рабочем процессе мог произойти segmentation fault, + если с помощью директивы set изменялись переменные "$http_...", + "$sent_http_..." или "$upstream_http_...". + + *) Исправление: в обработке ошибок выделения памяти. + Спасибо Markus Linnala и Feng Gu. + + Изменения в nginx 1.7.4 05.08.2014 *) Безопасность: pipelined-команды не отбрасывались после команды diff -r d7740f42b00a -r bb18e3bd3fb9 text/ru/CHANGES.ru-1.6 --- a/text/ru/CHANGES.ru-1.6 Tue Sep 16 12:27:55 2014 +0400 +++ b/text/ru/CHANGES.ru-1.6 Tue Sep 16 17:20:27 2014 +0400 @@ -1,4 +1,19 @@ +Изменения в nginx 1.6.2 16.09.2014 + + *) Безопасность: при использовании общего для нескольких блоков server + разделяемого кэша SSL-сессий или общего ключа для шифрования TLS + session tickets было возможно повторно использовать SSL-сессию в + контексте другого блока server (CVE-2014-3616). + Спасибо Antoine Delignat-Lavaud. + + *) Исправление: запросы могли зависать, если использовался resolver и + DNS-сервер возвращал некорректный ответ; ошибка появилась в 1.5.8. + + *) Исправление: запросы могли зависать, если использовался resolver и в + процессе обращения к DNS-серверу происходил таймаут. + + Изменения в nginx 1.6.1 05.08.2014 *) Безопасность: pipelined-команды не отбрасывались после команды diff -r d7740f42b00a -r bb18e3bd3fb9 xml/en/security_advisories.xml --- a/xml/en/security_advisories.xml Tue Sep 16 12:27:55 2014 +0400 +++ b/xml/en/security_advisories.xml Tue Sep 16 17:20:27 2014 +0400 @@ -24,6 +24,13 @@ + + + + + +nginx-1.6.2 +stable and +nginx-1.7.5 +mainline versions have been released +with a fix for the +SSL session reuse vulnerability +discovered by Antoine Delignat-Lavaud +(CVE-2014-3616). + + + nginx-1.6.1 diff -r d7740f42b00a -r bb18e3bd3fb9 xml/versions.xml --- a/xml/versions.xml Tue Sep 16 12:27:55 2014 +0400 +++ b/xml/versions.xml Tue Sep 16 17:20:27 2014 +0400 @@ -9,6 +9,7 @@ + @@ -20,6 +21,7 @@ +