Heute veröffentlichen wir Updates für NGINX Plus, NGINX Open Source, NGINX Open Source Subscription und NGINX Ingress Controller als Reaktion auf kürzlich entdeckte Schwachstellen in den NGINX-Modulen für Videostreaming in den Formaten MP4 und Apple HTTP Live Streaming (HLS), ngx_http_mp4_module und ngx_http_hls_module. (NGINX Open Source Subscription ist eine speziell zusammengestellte Edition von NGINX Open Source, die in bestimmten Regionen verfügbar ist.)
Die Sicherheitslücken wurden in der Common-Vulnerabilities-and-Exposures-Datenbank (CVE) registriert und das F5 Security Incident Response Team (F5 SIRT) hat sie anhand der Skala des Common Vulnerability Scoring System (CVSS v3.1) bewertet.
Die folgenden Sicherheitslücken im MP4-Modul (ngx_http_mp4_module) betreffen NGINX Plus, NGINX Open Source und NGINX Open Source Subscription.
- CVE-2022-41741 (Speicherbeschädigung) – CVSS-Bewertung 7.1 (Hoch)
- CVE-2022-41742 (Offenlegung von Speicherinhalten) – CVSS-Score 7,0 (Hoch)
Die folgende Sicherheitslücke im HLS-Modul (ngx_http_hls_module) betrifft ausschließlich NGINX Plus.
- CVE-2022-41743 (Speicherbeschädigung) – CVSS-Score 7.0 (Hoch)
Patches für diese Sicherheitslücken sind in den folgenden Softwareversionen enthalten:
- NGINX Plus R27 P1
- NGINX Plus R26 P1
- NGINX Open Source 1.23.2 (Mainline)
- NGINX Open Source 1.22.1 (stabil)
- NGINX Open Source-Abonnement R2 P1
- NGINX Open Source-Abonnement R1 P1
- NGINX Ingress Controller 2.4.1
- NGINX Ingress Controller 1.12.5
Alle Versionen von NGINX Plus, NGINX Open Source, NGINX Open Source Subscription und NGINX Ingress Controller sind betroffen. Wir empfehlen Ihnen dringend, Ihre NGINX-Software auf die neueste Version zu aktualisieren.
Anweisungen zum Upgrade von NGINX Plus finden Sie unter „Upgrade von NGINX Plus“ im NGINX Plus-Administratorhandbuch. Kunden von NGINX Plus können sich auch unter https://my.f5.com/ an unser Supportteam wenden.
Über den Autor
Ähnliche Blogbeiträge
Die Zukunft von NGINX: Zurück zu unseren Open-Source-Wurzeln
Beim NGINX Sprint 2022 besinnen wir uns auf unsere Open-Source-Wurzeln. Erfahren Sie mehr über die Initiativen, die wir im kommenden Jahr verfolgen, und teilen Sie uns mit, was Sie sich wünschen.
Ein Leitfaden zur Auswahl eines Ingress-Controllers, Teil 1: Ermitteln Sie Ihre Anforderungen
Ein Ingress-Controller kann eines der leistungsstärksten Tools in Ihrem Kubernetes-Stack sein. Erfahren Sie, wie Sie Ihre Ingress-Anforderungen ermitteln, um die beste Option auszuwählen.
Bereitstellung des NGINX Ingress Controllers auf Amazon EKS: So haben wir getestet
Wir haben kürzlich den Lösungsleitfaden zum NGINX Ingress Controller um Empfehlungen zur Dimensionierung für Amazon Elastic Kubernetes Service (EKS) ergänzt. In diesem Blogbeitrag erläutern wir, wie wir diese Empfehlungen erarbeitet haben, und stellen Ihnen alle Informationen zur Verfügung, die Sie benötigen, um selbst ähnliche Tests durchzuführen.
Protokollierung des Datenverkehrs zwischen NGINX und Upstream-Servern bei CDN77
Bei der Fehlersuche bei Datenverkehrsproblemen zwischen NGINX und Upstream-Servern konnte CDN77 die benötigten Daten nur aus dem Fehlerprotokoll mit aktivierter Debug-Ausgabe beziehen, was die Leistung beeinträchtigt und riesige Dateien erzeugt. Daher entwickelte das Team ein neues benutzerdefiniertes Modul, das ausschließlich die benötigten Daten protokolliert.
Ankündigung von NGINX Plus R16
NGINX Plus R16 ist eine einheitliche, elastische Ingress- und Egress-Schicht für Anwendungen, die die Funktionen eines Load Balancers, API-Gateways und einer WAF vereint und neue Features wie clusterfähige Ratenbegrenzung, Schlüssel-Wert-Speicher, „Random with Two Choices“, verbessertes UDP-Load-Balancing und vieles mehr bietet.
5 Gründe für den Umstieg auf softwarebasiertes Load Balancing
Entdecken Sie fünf Gründe für den Wechsel zu einem softwarebasierten Load Balancer wie NGINX Plus, darunter Kosteneinsparungen, die Einführung von DevOps und eine einheitliche Lösung für alle Umgebungen.