OpenResty 1.29.2.4 发布：修复 rewrite 模块高危漏洞，升级与验证实战

OpenResty 1.29.2.4 版本已经正式落地。这次更新并非简单的小版本迭代，最核心的动作是将 NGINX 的 CVE-2026-42945 补丁合入，堵上了 ngx_http_rewrite_module 中的缓冲区溢出漏洞。如果你的业务重度依赖 rewrite 规则做流量调度、域名跳转或安全拦截，这个版本是必须跟进的刚需。

漏洞根因：rewrite 模块的缓冲区越界

ngx_http_rewrite_module 是 NGINX 处理 if、set、return 及各类 rewrite 指令的核心组件。当处理特定构造的请求或匹配异常长度的正则捕获组时，旧版本存在缓冲区边界检查不严的缺陷。

缓冲区溢出意味着攻击者有可能通过精心构造的 URL 触发越界写，后果轻则导致 worker 进程 crash，重则在特定内存布局下引发远程代码执行（RCE）。OpenResty 作为基于 NGINX 与 LuaJIT 的高性能网关，天然继承了这一底层风险。尤其在 OpenResty 场景中，rewrite 常与 Lua 的 access_by_lua* 混合使用，请求在进入 Lua 层前就可能被漏洞路径截获，因此不能指望 Lua 层的逻辑来做防御。

1.29.2.4 的分发与兼容性

除了安全补丁，新版本继续沿袭了 OpenResty 一贯的易用性：官方直接提供了主流 Linux 发行版的预编译二进制包。无论你的基础设施是 CentOS/RHEL 系还是 Debian/Ubuntu 系，甚至 Fedora、Amazon Linux，都可以直接拉取对应包升级，免去自行编译 LuaJIT 与 NGINX 依赖的痛苦。

对于运行长期维护版本的生产环境，二进制包的平滑替换是最低风险的升级路径。

升级实战：从拉取到验证

下面以 CentOS 7 / RHEL 系统为例，演示如何通过 yum 仓库快速升级，并用一段 Lua 代码确认版本生效。

1. 更新仓库并升级 OpenResty

如果你之前已经配置过 OpenResty 官方仓库，直接执行更新即可：

# 检查当前版本
openresty -V

# 更新到最新版
sudo yum makecache fast
sudo yum update openresty -y

如果是首次安装，需先添加仓库源：

sudo yum install yum-utils -y
sudo yum-config-manager --add-repo https://openresty.org/package/centos/openresty.repo
sudo yum install openresty -y

2. 重启服务并验证版本

升级包完成后，优雅重启服务以加载新二进制：

sudo systemctl restart openresty
# 或者使用旧式信号重启
# sudo kill -HUP `cat /usr/local/openresty/nginx/logs/nginx.pid`

为了确认网关确实运行在 1.29.2.4，可以在 nginx.conf 的 server 块中加入一段临时的 Lua 掍口打印版本信息：

location = /check-version {
    content_by_lua_block {
        -- 读取 OpenResty 版本号并返回
        local ver = ngx.config.openresty_version
        ngx.say("Current OpenResty Version: " .. ver)

        -- 校验是否为目标修复版本
        if ver == "1.29.2.4" then
            ngx.say("CVE-2026-42945 patch verified.")
        else
            ngx.status = 500
            ngx.say("WARNING: Version mismatch, upgrade failed!")
        end
    }
}

请求该接口，确认返回内容为 1.29.2.4 及补丁验证通过后，即可将此临时 location 移除或注释。

升级前的防线与检查清单

虽然二进制替换看似简单，但网关层的变更牵一发动全身，建议按以下清单执行：

1. 配置语法检查：升级前务必跑一次 openresty -t，确保现有配置在新版本下无语法或模块兼容性报错。
2. 回归 rewrite 规则：梳理业务中所有使用 rewrite、if、set 的 Server 块，重点关注带有复杂正则捕获与变量拼接的规则，这些是漏洞触发的高危区。
3. 灰度替换：如果有多台网关节点，不要一次性全量升级。先在一台节点上替换二进制并重启，观察请求错误率与 worker 进程 OOM/Crash 指标，稳定后再全量推进。
4. 日志监控：升级后 24 小时内，重点监控 error.log 中是否出现 segfault 或 core dump 相关记录，这是缓冲区溢出修复不彻底或引入新问题的典型信号。

安全漏洞的修复窗口往往比业务迭代更紧迫。把 CVE-2026-42945 的补丁落地，不只是完成一次版本号更新，更是把网关层最容易被忽视的 rewrite 风险彻底封死。