Опубликованы (http://mailman.nginx.org/pipermail/nginx-announce/2018/00021...) новые выпуски основной и стабильной веток высокопроизводительного HTTP-сервера nginx (http://nginx.org/en/download.html) - 1.14.1 (http://mailman.nginx.org/pipermail/nginx-announce/2018/00021...) и 1.15.6 (http://mailman.nginx.org/pipermail/nginx-announce/2018/00021...), в которых устранены три уязвимости (http://nginx.org/en/security_advisories.html):- CVE-2018-16845 (http://mailman.nginx.org/pipermail/nginx-announce/2018/00022...) - ошибка в модуле ngx_http_mp4_module (не собирается по умолчанию) может привести к краху рабочего процесса или отправке в составе ответа содержимого областей памяти рабочего процесса при обработке специально оформленных файлов mp4;
- CVE-2018-16843 (http://mailman.nginx.org/pipermail/nginx-announce/2018/00022...) - DoS-уявзимость в реализации протокола HTTP/2, которая может привести к исчерпанию доступной процессу памяти. Проблема проявляется только при использовании модуля ngx_http_v2_module и указании опции "http2" в блоке "listen";
- CVE-2018-16844 (http://mailman.nginx.org/pipermail/nginx-announce/2018/00022...) - DoS-уявзимость в реализации протокола HTTP/2, которая может привести к утилизации доступных ресурсов CPU.
В выпуске 1.15.6 дополнительно добавлены новые директивы "proxy_socket_keepalive (https://nginx.org/en/docs/http/ngx_http_proxy_module.html#pr...)", "fastcgi_socket_keepalive",
"grpc_socket_keepalive", "memcached_socket_keepalive",
"scgi_socket_keepalive", и "uwsgi_socket_keepalive" для настройки keepalive для исходящих соединений (включения или выключения опции SO_KEEPALIVE для сокетов). Исправлена ошибка, из-за которой протокол TLS 1.3 оставался постоянно включен при сборке с
OpenSSL 1.1.0 и использовании OpenSSL 1.1.1. В бэкендах gRPC сокрашено потребление памяти.
URL: http://mailman.nginx.org/pipermail/nginx-announce/2018/00021...
Новость: https://www.opennet.dev/opennews/art.shtml?num=49567
Так вот он чем лучше апача...
Только лишь в Apache 2.4 было в два раза больше уязвимостей, чем в nginx за всю историю.
https://httpd.apache.org/security/vulnerabilities_24.html
> Зочем? У него же нормальный async pollingИ как это поможет критичным к вычислительных ресурсам задачам, таким как TLS и сжатие на многоядерной системе (чуть менее чем все)?
> Только лишь в Apache 2.4 было в два раза больше уязвимостей, чем в nginx за всю историю.А если считать только moderate (DoS и pwn), проявляющиеся в дефолтной конфигурации?
История apache гораздо больше истории nginx
... Поэтому, за всю историю apache уязвимостей было просто дохрена!(Где логика в твоих словах? Если ты что-то хотел сказать - ты не договорил.)
Логика в том, что нужно мерять не уязвимости за все время жизни, а в среднем за год.
nginx существует гораздо дольше, чем apache 2.4, а уязвимостей у него было вдвое меньше. Сами догадаетесь, у кого среднее в год будет меньше?Только лишь в этом году у Apache было 10 CVE, а у nginx всего 3.
http2 - нинужен, вот и доказательства.
эта оверинжиниренная бесполезная хрень ненужно даже если бы в ней не водилась дыра на дыре.ну кроме, конечно же, гуглепейсбукотентаклей, продолжающих уничтожать любой интернет, кроме принадлежащего им.
Они еще живут в мире где есть TCP/IP?QUIC наше все!
для Ъ объясните, что такое QUIC, пожалуйста.SCTP не смогло забороть TCP, а этот квик - да?
> что такое QUIC, пожалуйстаИдите посмотрите будущий стандарт HTTP/3 и где вы там видите TCP?
гугль, ты залогиниться забыл!