F5 NGINX mantiene su compromiso con un ciclo de vida de desarrollo de software seguro, que incluye procesos de diseño, desarrollo y pruebas optimizados para detectar problemas de seguridad antes del lanzamiento. Aunque damos prioridad al modelado de amenazas, la programación segura, la formación y las pruebas, en ocasiones surgen vulnerabilidades.
El mes pasado, un miembro de la comunidad de NGINX Open Source informó de dos errores en el módulo HTTP/3 que provocaban el bloqueo de NGINX Open Source. Determinamos que un agente malintencionado podía provocar un ataque de denegación de servicio en instancias de NGINX mediante el envío de solicitudes HTTP/3 especialmente diseñadas. Por este motivo, NGINX acaba de anunciar dos vulnerabilidades: CVE-2024-24989 y CVE-2024-24990.
Las vulnerabilidades se han registrado en la base de datos Common Vulnerabilities and Exposures (CVE), y el Equipo de Respuesta a Incidentes de Seguridad de F5 (F5 SIRT) les ha asignado puntuaciones utilizando la escala del Sistema Común de Puntuación de Vulnerabilidades (CVSS v3.1).
En el momento de su lanzamiento, las funcionalidades QUIC y HTTP/3 de NGINX se consideraban experimentales. Históricamente, no emitíamos CVE para las funcionalidades experimentales, sino que corregíamos el código correspondiente y lo publicábamos como parte de una versión estándar. En el caso de los clientes comerciales de NGINX Plus, se corregían las dos versiones anteriores y se ponían a disposición de los clientes. Consideramos que no publicar una corrección similar para NGINX Open Source perjudicaría a nuestra comunidad. Además, corregir el problema en la rama de código abierto habría expuesto a los usuarios a la vulnerabilidad sin proporcionarles un archivo binario.
Nuestra decisión de publicar un parche tanto para NGINX Open Source como para NGINX Plus se basa en hacer lo correcto: ofrecer software altamente seguro a nuestros clientes y a la comunidad. Además, nos comprometemos a documentar y publicar una política clara sobre cómo se abordarán las futuras vulnerabilidades de seguridad de manera oportuna y transparente.
Sobre el autor
Artículos relacionados del blog
Únete a F5 NGINX en AppWorld 2024
Descubre las numerosas razones para asistir al evento insignia de F5, que incluirá un emocionante anuncio sobre la cartera de productos NGINX.
Rotación de certificados SSL/TLS sin reinicios en NGINX Open Source
La función de diccionario compartido permite configurar NGINX sin necesidad de reiniciarlo al renovar los certificados SSL/TLS.
Exposición de APIs en Kubernetes
La unidad 2 de Microservices March 2022 se centra en cómo exponer tus API en Kubernetes. Aquí tienes enlaces a los recursos que necesitas: la retransmisión en directo del 14 de marzo, artículos de blog y otros recursos de preparación, y el laboratorio práctico «Protege las API de Kubernetes mediante la limitación de solicitudes».
NGINX Sprint 2.0: visión clara, código renovado y nuevos compromisos con el código abierto
Hoy, en NGINX Sprint 2.0, anunciamos cómo respaldaremos nuestra visión del futuro de las aplicaciones modernas con una mayor presencia en la comunidad de código abierto, incluida la participación en el proyecto comunitario Kubernetes, nuevos proyectos de software de código abierto y la arquitectura de referencia para aplicaciones modernas.
Presentamos NGINX Plus R22
NGINX Plus R22 incorpora nuevas funcionalidades, como la compatibilidad con OCSP para verificar la revocación de certificados en TLS mutuo, el uso de varios proveedores de identidad OIDC en una configuración, el seguimiento en tiempo real de la limitación de solicitudes y conexiones en el panel de NGINX Plus y mejoras en NGINX JavaScript.
Presentamos NGINX Plus R17
NGINX Plus R17 incorpora compatibilidad con la limitación de velocidad en dos fases y con TLS 1.3, la versión más reciente del protocolo Transport Layer Security. La configuración de OpenID Connect es más sencilla y NGINX ModSecurity WAF es el doble de rápido que antes. También se ha actualizado el módulo JavaScript de NGINX.