Hoy publicamos actualizaciones para NGINX Open Source y NGINX Plus tras el reciente descubrimiento de vulnerabilidades en numerosas implementaciones de HTTP/2. Recomendamos encarecidamente actualizar todos los sistemas que tengan HTTP/2 habilitado.
En mayo de 2019, investigadores de Netflix descubrieron varias vulnerabilidades de seguridad en diversas implementaciones de servidores HTTP/2. Estas se notificaron de forma responsable a cada uno de los proveedores y responsables de mantenimiento afectados. NGINX era vulnerable a tres vectores de ataque, tal como se detalla en los siguientes CVE:
- CVE-2019-9511 (goteo de datos)
- CVE-2019-9513 (Bucle de recursos)
- CVE-2019-9516 (Filtración de encabezados de longitud cero)
Hemos corregido estas vulnerabilidades y añadido otras medidas de seguridad para HTTP/2 en las siguientes versiones de NGINX:
- NGINX 1.16.1 (estable)
- NGINX 1.17.3 (rama principal)
- NGINX Plus R18 P1
Sobre el autor
Artículos relacionados del blog
Únete a F5 NGINX en AppWorld 2024
Descubre las numerosas razones para asistir al evento insignia de F5, que incluirá un emocionante anuncio sobre la cartera de productos NGINX.
Rotación de certificados SSL/TLS sin reinicios en NGINX Open Source
La función de diccionario compartido permite configurar NGINX sin necesidad de reiniciarlo al renovar los certificados SSL/TLS.
Exposición de APIs en Kubernetes
La unidad 2 de Microservices March 2022 se centra en cómo exponer tus API en Kubernetes. Aquí tienes enlaces a los recursos que necesitas: la retransmisión en directo del 14 de marzo, artículos de blog y otros recursos de preparación, y el laboratorio práctico «Protege las API de Kubernetes mediante la limitación de solicitudes».
NGINX Sprint 2.0: visión clara, código renovado y nuevos compromisos con el código abierto
Hoy, en NGINX Sprint 2.0, anunciamos cómo respaldaremos nuestra visión del futuro de las aplicaciones modernas con una mayor presencia en la comunidad de código abierto, incluida la participación en el proyecto comunitario Kubernetes, nuevos proyectos de software de código abierto y la arquitectura de referencia para aplicaciones modernas.
Presentamos NGINX Plus R22
NGINX Plus R22 incorpora nuevas funcionalidades, como la compatibilidad con OCSP para verificar la revocación de certificados en TLS mutuo, el uso de varios proveedores de identidad OIDC en una configuración, el seguimiento en tiempo real de la limitación de solicitudes y conexiones en el panel de NGINX Plus y mejoras en NGINX JavaScript.
Presentamos NGINX Plus R17
NGINX Plus R17 incorpora compatibilidad con la limitación de velocidad en dos fases y con TLS 1.3, la versión más reciente del protocolo Transport Layer Security. La configuración de OpenID Connect es más sencilla y NGINX ModSecurity WAF es el doble de rápido que antes. También se ha actualizado el módulo JavaScript de NGINX.