The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



"Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +/
Сообщение от opennews (ok), 01-Июн-16, 06:40 
Доступен (http://mailman.nginx.org/pipermail/nginx-ru-announce/2016/00... выпуск основной ветки высокопроизводительного HTTP-сервера nginx 1.11.1 и стабильной ветки nginx 1.10.1 (http://mailman.nginx.org/pipermail/nginx-ru-announce/2016/00... в которых устранена уязвимость (CVE-2016-4450 (https://security-tracker.debian.org/tracker/CVE-2016-4450)), позволяющая инициировать крах рабочего процесса из-за разыменования нулевого указателя при записи во временный файл тела специально созданного запроса. Проблема проявляется начиная с выпуска 1.3.9. Патч (http://nginx.org/download/patch.2016.write.txt) для nginx с 1.9.13 по 1.11.0. Патч (http://nginx.org/download/patch.2016.write2.txt) для  nginx с 1.3.9 по 1.9.12.


URL: http://mailman.nginx.org/pipermail/nginx-announce/2016/00017...
Новость: https://www.opennet.ru/opennews/art.shtml?num=44524

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения [Сортировка по времени | RSS]


1. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +1 +/
Сообщение от Какаянахренразница (ok), 01-Июн-16, 06:40 
Зачастили как-то релизы nginx-а...
Ответить | Правка | Наверх | Cообщить модератору

2. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +/
Сообщение от Andrey Mitrofanov (?), 01-Июн-16, 06:43 
> Зачастили как-то релизы nginx-а...

Вам привет https://en.wikipedia.org/wiki/Release_early,_release_often от папы опенсура.

Ответить | Правка | Наверх | Cообщить модератору

3. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +/
Сообщение от Какаянахренразница (ok), 01-Июн-16, 06:54 
Спасибо. Папе тоже от нас привет. Мы его читали и уважаем.
----------------------
А коммент по поводу nginx-a -- это выражение душевного смятения. Неспокойствия на сердце. Навязчивой пульсации в мозгу. Гнетущего состояния. Зудящей мысли.

"Обновляться или ждать? Обновляться или ждать? Обнов... " Ну вы поняли.

Ответить | Правка | Наверх | Cообщить модератору

5. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +/
Сообщение от Ккк (?), 01-Июн-16, 08:54 
Не мучайтесь, у многих нжинкс вообще какой поставили, такой и стоит (у меня например 1.4.x) из реп убунцы, в моих предыдущих компаниях тоже как-то особо не парились вопросом обновлений, кроме того есть куда более интересный способ потратить время, чем думать обновляться или нет, да и обновление тож неособо интересное занятие само по себе
Ответить | Правка | Наверх | Cообщить модератору

12. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  –1 +/
Сообщение от Какаянахренразница (ok), 01-Июн-16, 20:27 
Не, мне на 1.4 никак нельзя. Разрабы nginx-а пилят хорошие фичи и пишут аппетитные чейнжлоги. Читаю и начинаю хотеть. Добавили SPDY? Надо попробовать! Добавили http/2? И мне надо!

Вот так и мучаюсь.

Ответить | Правка | Наверх | Cообщить модератору

21. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +1 +/
Сообщение от Аноним (-), 03-Июн-16, 12:23 
Дык пробовать надо на котятах а не на продакшене. ;)
Ответить | Правка | Наверх | Cообщить модератору

24. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +/
Сообщение от Какаянахренразница (ok), 06-Июн-16, 09:54 
> Дык пробовать надо на котятах а не на продакшене. ;)

Правильно. Но 1.4 -- всё равно не вариант :-)

Ответить | Правка | Наверх | Cообщить модератору

8. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +1 +/
Сообщение от eRIC (ok), 01-Июн-16, 11:51 
обновляетесь, тем более с обновлением nginx'а нет никаких проблем :)
Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

15. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +2 +/
Сообщение от Аноним (-), 02-Июн-16, 02:26 
Кроме того что там периодически переделывают конфиг и старые конфиги работать перестают, очень наглядно показывая почему дистры ориентированные на продакшн очкуют подтягивать версии.
Ответить | Правка | Наверх | Cообщить модератору

25. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +/
Сообщение от Какаянахренразница (ok), 06-Июн-16, 09:54 
> обновляетесь, тем более с обновлением nginx'а нет никаких проблем :)

Сцыкотно, сэр.

Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

10. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +/
Сообщение от й (?), 01-Июн-16, 19:02 
в смысле? используйте stable-репу от nginx (сейчас это 1.10), если хотите stable. и авто-обновление из этой репы по крону.
Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

11. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +/
Сообщение от Какаянахренразница (ok), 01-Июн-16, 20:24 
Если мне не изменярт склероз, то в последний раз, когда я устанавливал nginx из их репы, у меня отвалился geoip.
Ответить | Правка | Наверх | Cообщить модератору

14. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +/
Сообщение от й (?), 01-Июн-16, 23:05 
http://nginx.org/ru/docs/http/ngx_http_geoip_module.html
> По умолчанию этот модуль не собирается, его сборку необходимо разрешить с помощью конфигурационного параметра --with-http_geoip_module.

неудивительно.

Ответить | Правка | Наверх | Cообщить модератору

17. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +/
Сообщение от Какаянахренразница (ok), 02-Июн-16, 06:37 
А я и не удивляюсь. Я просто не юзаю официальный репозиторий.
Ответить | Правка | Наверх | Cообщить модератору

19. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +/
Сообщение от й (?), 02-Июн-16, 15:37 
кстати, этой проблемы уже нет: http://nginx.org/ru/linux_packages.html

> Начиная с версии 1.9.11, nginx поддерживает динамические модули. В настоящее время следующие модули собираются как динамические и поставляются в виде отдельных пакетов:
> * nginx-module-geoip

Ответить | Правка | Наверх | Cообщить модератору

23. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +/
Сообщение от Какаянахренразница (ok), 06-Июн-16, 09:50 
Поскольку я в настоящий момент не юзаю офиц. репозиторий, то тамошние проблемы меня не огорчают, а их геройское решение -- не радует. Ну, вынесли в отдельный пакет, и ладно.
Ответить | Правка | Наверх | Cообщить модератору

20. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +/
Сообщение от Аноним (-), 03-Июн-16, 01:49 
Он не отвалился, а был вынесен в отдельный динамический модуль - как только эта поддержка появилась. Про это было написано... примерно везде.

Или вы всегда сначала обновляетесь, а потом читаете changelog? :)

Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

22. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +/
Сообщение от Какаянахренразница (ok), 06-Июн-16, 09:44 
У меня он именно "отвалился". Я юзал сборку из другой репы и оно было "искаропки". Потом решил попробовать офиц. репу -- обновился, ужаснулся и вернулся на launchpad.

Да, можно было докопаться до причин, поставить недостающий пакет и завести пепелац. Но когда вебсервер встал колом, не особо есть желание искать причины. Пакет из другой репы работает -- ну и слава богу.

Ответить | Правка | Наверх | Cообщить модератору

4. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +2 +/
Сообщение от ALex_hha (ok), 01-Июн-16, 08:13 
Думаю, все зависит от исправлений. Если это мелкие багфиксы, то не обязательно все бросать и сразу обновляться. Или исправления в модуле, который у вас вообще не используется. А если это ядро и базывае модули, да еще какой-нибудь RCE, то думаю вопрос снимается
Ответить | Правка | Наверх | Cообщить модератору

6. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +/
Сообщение от Аноним (-), 01-Июн-16, 09:56 
вообще в бубунте обновляется автоматом и весьма неплохо.
Ответить | Правка | Наверх | Cообщить модератору

13. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  –3 +/
Сообщение от Какаянахренразница (ok), 01-Июн-16, 20:31 
> вообще в бубунте обновляется автоматом и весьма неплохо.

Как бы с таким обновлением не проснуться с автоматом у виска...

Ответить | Правка | Наверх | Cообщить модератору

9. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +1 +/
Сообщение от й (?), 01-Июн-16, 18:59 
ссылка классная:
> wheezy (security), wheezy    1.2.1-2.2+wheezy4
> [wheezy] - nginx <not-affected> (Introduced in 1.3.9)

т.е. используйте протухший софт и вам будет счастье.

Ответить | Правка | Наверх | Cообщить модератору

16. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +/
Сообщение от Аноним (-), 02-Июн-16, 02:29 
> т.е. используйте протухший софт и вам будет счастье.

Это до некоторой степени правда. Если ты возьмешь Win 3.11 или там полуось какую-нибудь и столь же свежий вебсервер, есть высокая вероятность что ни один хакер вообще не вспомнит как это ломать. Если у тебя есть что-то сильно интересное, тебя это не спасет, но все-таки.

Ответить | Правка | Наверх | Cообщить модератору

18. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  –1 +/
Сообщение от Andrey Mitrofanov (?), 02-Июн-16, 07:36 
> т.е. используйте протухший софт и вам будет счастье.

Не, не так. Не используйте дрист-релизы и не страдайте по маркетинговым бусам.

И не будет так мучительно. Как Вам и "активисту" из #1...

Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

26. "Обновление nginx 1.10.1 и 1.11.1 с устранением уязвимости"  +/
Сообщение от Анонимemail (26), 31-Мрт-22, 13:04 
Испоавить ошибку 404
Ответить | Правка | Наверх | Cообщить модератору

27. "Обновление nginx 1.10.1 и 1.1э21.1 с устранением уязвимости"  +/
Сообщение от Анонимemail (26), 31-Мрт-22, 13:06 
Исправить ошибку 404
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру