nginx 1.28.3 稳定版全解析：6 大 CVE 修复、核心模块优化与代码变更详解

nginx 1.28.3 稳定版全解析：6 大 CVE 修复、核心模块优化与代码变更详解

3.1 QUIC模块优化
1. 调整无状态重置（Stateless Reset）数据包最小长度，从21字节调整为41字节
2. 限制无状态重置数据包最大尺寸为1200字节，避免超大包攻击
3. 新增无状态重置速率限制，基于地址哈希与位图实现频率控制，防止滥用
4. 无状态重置令牌与worker进程绑定，避免跨进程数据包处理异常
5. 重构ngx_quic_address_hash()函数，优化地址哈希计算逻辑
6. 提升OpenSSL兼容层错误处理能力，修复密钥设置失败导致的内部错误
7. 修复错误worker进程接收QUIC数据包导致连接断开的问题
3.2 MP4模块修复
1. 校验stss原子同步样本值，禁止零值同步样本，避免解析异常
2. 修复32位平台整数溢出问题，防止内存越界
3. 禁止零长度缓冲区输出，避免空指针异常
4. 优化时间切片逻辑，当结束偏移小于等于起始偏移时直接返回错误
5. 修复样本索引、chunk索引越界问题，完善原子大小边界校验
6. 修复关键帧查找逻辑，将返回值类型从uint32_t改为ngx_int_t，统一错误处理
3.3 DNS解析模块修复
1. 修复ngx_resolver_copy()函数中的off-by-one读取错误
2. 调整SRV记录解析边界判断条件，从i + 6 > n改为i + 6 >= n，避免短响应解析异常
3.4 邮件模块修复
1. 修复auth_http请求中s->passwd内存清理不彻底问题，使用ngx_str_null统一初始化
2. 新增SMTP主机名校验函数，过滤非法字符，防止DNS注入
3. 主机名解析失败时直接返回临时不可用状态，避免异常连接
3.5 Stream SSL模块修复
1. 完善客户端证书OCSP校验逻辑，校验失败时记录错误日志并终止握手
2. 清除OCSP失败的会话缓存，防止非法会话复用
#大模型# #福大大架构师每日一题#