forum.opennet.ru - "Выпуск nginx 1.31.6 с устранением переполнения буфера в реализации HTTP/3" (26)

"Выпуск nginx 1.31.6 с устранением переполнения буфера в реализации HTTP/3"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Выпуск nginx 1.31.6 с устранением переполнения буфера в реализации HTTP/3"	+/–
Сообщение от opennews (??), 16-Сен-26, 12:37
Опубликован выпуск основной ветки nginx 1.31.6, в которой продолжается развитие новых возможностей. В параллельно поддерживаемую стабильную ветку 1.30.x вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей. В дальнейшем на базе основной ветки 1.31.x будет сформирована стабильная ветка 1.32. Код проекта написан на языке Си и распространяется под лицензией BSD... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66288
Ответить \| Правка \| Cообщить модератору

Оглавление

Дико извиняюсь, а причем тут HTTP 3 и установление tls соединения , Аноним (1), 12:37 , 16-Сен-26, (1) –2

Так ты пройди и прочитай формулировку CVE https security-tracker debian org tr, tlsgod (?), 12:44 , 16-Сен-26, (2) +1

Для такова взрослава проекта такие децкие ашипки Пусть уж перепишут на другом яз, Аноним (3), 13:12 , 16-Сен-26, (3) –9

Так перепиши, aname (ok), 14:40 , 16-Сен-26, (9) +3
Кто-то уже пилит форк на Rust , Аноним (10), 17:42 , 16-Сен-26, (10) +1
так манипуляции же - кто вам все сто тыщ миллионов сочетаний тестить-то будет, Аноним (-), 19:09 , 16-Сен-26, (14)
переполнение буфера тут побочный эффект, баг в другом, это такой скорее прикол с, Аноним (26), 18:31 , 17-Сен-26, (26)

ну, то есть, переписать на rust поможет, если openssl тоже на нем переписать, Аноним (26), 18:32 , 17-Сен-26, (27)

Да кому нужен этот ваш HTTP 3 Хpeнь смyзихлеeская, шифрование еще принудительно, Аноним (5), 13:44 , 16-Сен-26, (5) –10

Полезай обратно в криокамеру, чувак Бред про смузи был моден 10 лет назад и ты , Энтомолог_русолог (ok), 14:33 , 16-Сен-26, (6) +1
все актуальные браузеры предпочитают HTTP 3 и через него значительно быстрее из-, Гость (??), 14:40 , 16-Сен-26, (8) +3

Актуальные браузеры по дефолту всякую фигню включают, включая DoT DoH зонд АНБ А, Ivan_83 (ok), 21:01 , 16-Сен-26, (17) –2

И в каком месте это зонд АНБ Ну вот у меня собственный DoH-сервер, который в кач, Энтомолог_русолог (ok), 10:05 , 17-Сен-26, (21)

99,99 юзает дефолтные сервера и даже не знает что оно есть, а если знает то не , Ivan_83 (ok), 14:54 , 17-Сен-26, (23) –1

Ну ты же понимаешь, что это твои фантазии не имеющие никаких доказательств Что , Энтомолог_русолог (ok), 16:00 , 17-Сен-26, (24)

Да да, это мои галюны, и сервера те все не в одной юрисдикции, а если и в разных, Ivan_83 (ok), 16:12 , 17-Сен-26, (25)

https radar cloudflare com, Аноним (12), 17:44 , 16-Сен-26, (12) +1

https radar cloudflare com adoption-and-usage http1x-vs-http2-vs-http3, Аноним (-), 19:28 , 16-Сен-26, (15)
По данным пороса проведённого на нашем сайте интернетом пользуются 100 людей , Ivan_83 (ok), 20:57 , 16-Сен-26, (16) +1

UDP это отлично Нет head of line blocking , Аноним (13), 19:07 , 16-Сен-26, (13) –1

Также недавно был релиз Pingora 0 9 https github com cloudflare pingora releas, Аноним (12), 17:42 , 16-Сен-26, (11)

А он поддерживает HTTP 3 , Джон Титор (ok), 23:00 , 19-Сен-26, (29)

Как юзал 1 1 так и юзаю, 2 и 3 модули даже не собираю, в браузерах аналогично по, Ivan_83 (ok), 21:02 , 16-Сен-26, (18) –1

Держите нас в курсе, О (?), 08:35 , 17-Сен-26, (19)

Держи в курсе, кто должен держать нас в курсе , Аноним (20), 09:47 , 17-Сен-26, (20)

А разве HTTP 3 уже готов и не меняется , Джон Титор (ok), 22:58 , 19-Сен-26, (28)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 16-Сен-26, 12:37 –2 +/–

Дико извиняюсь, а причем тут HTTP/3 и установление tls соединения?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #2

2. Сообщение от tlsgod (?), 16-Сен-26, 12:44 +1 +/–

Так ты пройди и прочитай формулировку CVE https://security-tracker.debian.org/tracker/CVE-2026-90439

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

3. Сообщение от Аноним (3), 16-Сен-26, 13:12 –9 +/–

> приводящая к переполнению буфера при манипуляции с параметрами
Для такова взрослава проекта такие децкие ашипки.
Пусть уж перепишут на другом языке наконец.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #9, #10, #14, #26

5. Сообщение от Аноним (5), 16-Сен-26, 13:44 –10 +/–

Да кому нужен этот ваш HTTP/3? Хpeнь смyзихлеeская, шифрование еще принудительно засунули, а также используют caтaнинский UDP, с которым ничего не работает. ДHO.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #6, #8, #12, #13

6. Сообщение от Энтомолог_русолог (ok), 16-Сен-26, 14:33 +1 +/–

Полезай обратно в криокамеру, чувак. Бред про смузи был моден 10 лет назад и ты проспал эти годы в ней
Я открою тайну: http/2 в nginx включается отдельной директивой http2 on;, http/3 включается отдельной директивой http3 on;. Если их не включить, то будет тебе http/1.1 и ничего более. Но, конечно, психически здоровым людям нужен и http/2, и http/3. А ты на домашнем веб-сервере работающем на компе твоей матери за который она тебя иногда пускает можешь хоть http/1.1 делать, хоть http/0.9(если найдешь веб-сервер его поддерживающий)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

8. Сообщение от Гость (??), 16-Сен-26, 14:40 +3 +/–

все актуальные браузеры предпочитают HTTP/3 и через него значительно быстрее из-за независимых мультипотоков

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #17

9. Сообщение от aname (ok), 16-Сен-26, 14:40 +3 +/–

> Пусть уж перепишут на другом языке наконец.
Так перепиши

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

10. Сообщение от Аноним (10), 16-Сен-26, 17:42 +1 +/–

Кто-то уже пилит форк на Rust.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

11. Сообщение от Аноним (12), 16-Сен-26, 17:42 +/–

Также недавно был релиз Pingora 0.9:
https://github.com/cloudflare/pingora/releases

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #29

12. Сообщение от Аноним (12), 16-Сен-26, 17:44 +1 +/–

>Да кому нужен этот ваш HTTP/3
https://radar.cloudflare.com

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #15, #16

13. Сообщение от Аноним (13), 16-Сен-26, 19:07 –1 +/–

UDP это отлично.
Нет head of line blocking.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

14. Сообщение от Аноним (-), 16-Сен-26, 19:09 +/–

так манипуляции же - кто вам все сто тыщ миллионов сочетаний тестить-то будет

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

15. Сообщение от Аноним (-), 16-Сен-26, 19:28 +/–

https://radar.cloudflare.com/adoption-and-usage#http1x-vs-ht...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

16. Сообщение от Ivan_83 (ok), 16-Сен-26, 20:57 +1 +/–

По данным пороса проведённого на нашем сайте интернетом пользуются 100% людей!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

17. Сообщение от Ivan_83 (ok), 16-Сен-26, 21:01 –2 +/–

Актуальные браузеры по дефолту всякую фигню включают, включая DoT/DoH зонд АНБ.
Аноним прав - всё это смузихлёбская фигня.
Технический просто мультиплексирование соединений вытащили из ядра в юзерспейс и теперь гордятся этим великим "достижением".
Значительно быстрее там ничего нет.
Просто браузеры уже давно по дефолту лимитируют открытые соединения к одному серверу, если ты этот лимит подкрутишь, убедишься что TFO с обоих сторон есть, а так же возобновление TLS работает - то вероянто TCP даже шустрее будет.
Уж точно предсказуемее и управляемее.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #21

18. Сообщение от Ivan_83 (ok), 16-Сен-26, 21:02 –1 +/–

Как юзал 1.1 так и юзаю, 2 и 3 модули даже не собираю, в браузерах аналогично повыключал.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #19

19. Сообщение от О (?), 17-Сен-26, 08:35 +/–

Держите нас в курсе

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #20

20. Сообщение от Аноним (20), 17-Сен-26, 09:47 +/–

Держи в курсе, кто должен держать нас в курсе.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

21. Сообщение от Энтомолог_русолог (ok), 17-Сен-26, 10:05 +/–

> включая DoT/DoH зонд АНБ
И в каком месте это зонд АНБ?
Ну вот у меня собственный DoH-сервер, который в качестве верхнего резолвера использует собственный dnsmasq. Где зонд?
DoH и DoT это защита от перехвата провайдерами твоих DNS-запросов, никаких зондов там нет, не неси фигни

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #23

23. Сообщение от Ivan_83 (ok), 17-Сен-26, 14:54 –1 +/–

99,99% юзает дефолтные сервера и даже не знает что оно есть, а если знает то не знает где настраивается - в андройде это в 2-3 разных местах запрятано.
Дефолтные сервера как раз все у АНБ стоят.
dnsmasq - отстой, переходи на unbound.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #24

24. Сообщение от Энтомолог_русолог (ok), 17-Сен-26, 16:00 +/–

> Дефолтные сервера как раз все у АНБ стоят.
Ну ты же понимаешь, что это твои фантазии не имеющие никаких доказательств? Что это чисто бредни человека верящего в теории заговора
В том и дело

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #25

25. Сообщение от Ivan_83 (ok), 17-Сен-26, 16:12 +/–

Да да, это мои галюны, и сервера те все не в одной юрисдикции, а если и в разных то совсем никак не подконтрольны корпорациям из одной юрисдикции, и никак не аффилированы.
Или тебе нужна справка с печатью АНБ что они следят за всем миром и торчат везде где только могут?)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

26. Сообщение от Аноним (26), 17-Сен-26, 18:31 +/–

переполнение буфера тут побочный эффект, баг в другом, это такой скорее прикол с архитектурой openssl, когда extension может вызываться внезапно в неожиданном контексте

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #27

27. Сообщение от Аноним (26), 17-Сен-26, 18:32 +/–

ну, то есть, переписать на rust поможет, если openssl тоже на нем переписать

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

28. Сообщение от Джон Титор (ok), 19-Сен-26, 22:58 +/–

А разве HTTP/3 уже готов и не меняется?

Ответить | Правка | Наверх | Cообщить модератору

29. Сообщение от Джон Титор (ok), 19-Сен-26, 23:00 +/–

А он поддерживает HTTP/3?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Хоcтинг:

1. Сообщение от Аноним (1), 16-Сен-26, 12:37	–2 +/–
Дико извиняюсь, а причем тут HTTP/3 и установление tls соединения?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #2

2. Сообщение от tlsgod (?), 16-Сен-26, 12:44	+1 +/–
Так ты пройди и прочитай формулировку CVE https://security-tracker.debian.org/tracker/CVE-2026-90439
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

3. Сообщение от Аноним (3), 16-Сен-26, 13:12	–9 +/–
> приводящая к переполнению буфера при манипуляции с параметрами Для такова взрослава проекта такие децкие ашипки. Пусть уж перепишут на другом языке наконец.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #9, #10, #14, #26

5. Сообщение от Аноним (5), 16-Сен-26, 13:44	–10 +/–
Да кому нужен этот ваш HTTP/3? Хpeнь смyзихлеeская, шифрование еще принудительно засунули, а также используют caтaнинский UDP, с которым ничего не работает. ДHO.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #6, #8, #12, #13

6. Сообщение от Энтомолог_русолог (ok), 16-Сен-26, 14:33	+1 +/–
Полезай обратно в криокамеру, чувак. Бред про смузи был моден 10 лет назад и ты проспал эти годы в ней Я открою тайну: http/2 в nginx включается отдельной директивой http2 on;, http/3 включается отдельной директивой http3 on;. Если их не включить, то будет тебе http/1.1 и ничего более. Но, конечно, психически здоровым людям нужен и http/2, и http/3. А ты на домашнем веб-сервере работающем на компе твоей матери за который она тебя иногда пускает можешь хоть http/1.1 делать, хоть http/0.9(если найдешь веб-сервер его поддерживающий)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5

8. Сообщение от Гость (??), 16-Сен-26, 14:40	+3 +/–
все актуальные браузеры предпочитают HTTP/3 и через него значительно быстрее из-за независимых мультипотоков
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5 Ответы: #17

9. Сообщение от aname (ok), 16-Сен-26, 14:40	+3 +/–
> Пусть уж перепишут на другом языке наконец. Так перепиши
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3

10. Сообщение от Аноним (10), 16-Сен-26, 17:42	+1 +/–
Кто-то уже пилит форк на Rust.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3

11. Сообщение от Аноним (12), 16-Сен-26, 17:42	+/–
Также недавно был релиз Pingora 0.9: https://github.com/cloudflare/pingora/releases
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #29

12. Сообщение от Аноним (12), 16-Сен-26, 17:44	+1 +/–
>Да кому нужен этот ваш HTTP/3 https://radar.cloudflare.com
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5 Ответы: #15, #16

13. Сообщение от Аноним (13), 16-Сен-26, 19:07	–1 +/–
UDP это отлично. Нет head of line blocking.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5

14. Сообщение от Аноним (-), 16-Сен-26, 19:09	+/–
так манипуляции же - кто вам все сто тыщ миллионов сочетаний тестить-то будет
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3

15. Сообщение от Аноним (-), 16-Сен-26, 19:28	+/–
https://radar.cloudflare.com/adoption-and-usage#http1x-vs-ht...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12

16. Сообщение от Ivan_83 (ok), 16-Сен-26, 20:57	+1 +/–
По данным пороса проведённого на нашем сайте интернетом пользуются 100% людей!
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12

17. Сообщение от Ivan_83 (ok), 16-Сен-26, 21:01	–2 +/–
Актуальные браузеры по дефолту всякую фигню включают, включая DoT/DoH зонд АНБ. Аноним прав - всё это смузихлёбская фигня. Технический просто мультиплексирование соединений вытащили из ядра в юзерспейс и теперь гордятся этим великим "достижением". Значительно быстрее там ничего нет. Просто браузеры уже давно по дефолту лимитируют открытые соединения к одному серверу, если ты этот лимит подкрутишь, убедишься что TFO с обоих сторон есть, а так же возобновление TLS работает - то вероянто TCP даже шустрее будет. Уж точно предсказуемее и управляемее.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8 Ответы: #21

18. Сообщение от Ivan_83 (ok), 16-Сен-26, 21:02	–1 +/–
Как юзал 1.1 так и юзаю, 2 и 3 модули даже не собираю, в браузерах аналогично повыключал.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #19

19. Сообщение от О (?), 17-Сен-26, 08:35	+/–
Держите нас в курсе
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #18 Ответы: #20

20. Сообщение от Аноним (20), 17-Сен-26, 09:47	+/–
Держи в курсе, кто должен держать нас в курсе.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19

21. Сообщение от Энтомолог_русолог (ok), 17-Сен-26, 10:05	+/–
> включая DoT/DoH зонд АНБ И в каком месте это зонд АНБ? Ну вот у меня собственный DoH-сервер, который в качестве верхнего резолвера использует собственный dnsmasq. Где зонд? DoH и DoT это защита от перехвата провайдерами твоих DNS-запросов, никаких зондов там нет, не неси фигни
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17 Ответы: #23

23. Сообщение от Ivan_83 (ok), 17-Сен-26, 14:54	–1 +/–
99,99% юзает дефолтные сервера и даже не знает что оно есть, а если знает то не знает где настраивается - в андройде это в 2-3 разных местах запрятано. Дефолтные сервера как раз все у АНБ стоят. dnsmasq - отстой, переходи на unbound.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #21 Ответы: #24

24. Сообщение от Энтомолог_русолог (ok), 17-Сен-26, 16:00	+/–
> Дефолтные сервера как раз все у АНБ стоят. Ну ты же понимаешь, что это твои фантазии не имеющие никаких доказательств? Что это чисто бредни человека верящего в теории заговора В том и дело
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #23 Ответы: #25

25. Сообщение от Ivan_83 (ok), 17-Сен-26, 16:12	+/–
Да да, это мои галюны, и сервера те все не в одной юрисдикции, а если и в разных то совсем никак не подконтрольны корпорациям из одной юрисдикции, и никак не аффилированы. Или тебе нужна справка с печатью АНБ что они следят за всем миром и торчат везде где только могут?)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #24

26. Сообщение от Аноним (26), 17-Сен-26, 18:31	+/–
переполнение буфера тут побочный эффект, баг в другом, это такой скорее прикол с архитектурой openssl, когда extension может вызываться внезапно в неожиданном контексте
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3 Ответы: #27

27. Сообщение от Аноним (26), 17-Сен-26, 18:32	+/–
ну, то есть, переписать на rust поможет, если openssl тоже на нем переписать
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #26

28. Сообщение от Джон Титор (ok), 19-Сен-26, 22:58	+/–
А разве HTTP/3 уже готов и не меняется?
Ответить \| Правка \| Наверх \| Cообщить модератору

29. Сообщение от Джон Титор (ok), 19-Сен-26, 23:00	+/–
А он поддерживает HTTP/3?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #11