Hoy publicamos actualizaciones para NGINX Plus, NGINX Open source y la suscripción a NGINX Open Source en respuesta a las vulnerabilidades detectadas internamente en el módulo HTTP/3 ngx_http_v3_module. Estas vulnerabilidades se descubrieron a partir de dos informes de errores de NGINX Open source (trac #2585 y trac #2586). Tenga en cuenta que este módulo no está habilitado de forma predeterminada y está documentado como experimental.
Las vulnerabilidades se han registrado en la base de datos Common Vulnerabilities and Exposures (CVE), y el equipo de respuesta ante incidentes de seguridad de F5 (F5 SIRT) les ha asignado puntuaciones utilizando la escala del sistema común de puntuación de vulnerabilidades (CVSS v3.1).
Las siguientes vulnerabilidades del módulo HTTP/3 afectan a NGINX Plus, la suscripción a NGINX Open Source y NGINX Open Source.
CVE-2024-24989: El parche para esta vulnerabilidad está incluido en las siguientes versiones de software:
- NGINX Plus R31 P1
- Suscripción a NGINX Open Source R6 P1
- NGINX Open Source, versión de la rama principal 1.25.4. (La última versión estable de NGINX Open Source, la 1.24.0, no está afectada.)
CVE-2024-24990: El parche para esta vulnerabilidad está incluido en las siguientes versiones de software:
- NGINX Plus R30 P2
- NGINX Plus R31 P1
- Suscripción a NGINX Open Source R5 P2
- Suscripción de código abierto de NGINX R6 P1
- Versión 1.25.4 de la rama principal de NGINX Open Source. (La última versión estable de NGINX Open Source, la 1.24.0, no está afectada.)
Este problema le afecta si utiliza NGINX Plus R30 o R31, los paquetes de suscripción de NGINX Open Source R5 o R6, o la versión mainline 1.25.3 o anterior de NGINX Open Source. Le recomendamos encarecidamente que actualice su software NGINX a la versión más reciente.
Para obtener instrucciones sobre cómo actualizar NGINX Plus, consulte Actualización de NGINX Plus en la Guía de administración de NGINX Plus. Los clientes de NGINX Plus también pueden ponerse en contacto con nuestro equipo de soporte para obtener ayuda en https://my.f5.com/.
Sobre el autor
Artículos relacionados del blog
Únete a F5 NGINX en AppWorld 2024
Descubre las numerosas razones para asistir al evento insignia de F5, que incluirá un emocionante anuncio sobre la cartera de productos NGINX.
Rotación de certificados SSL/TLS sin reinicios en NGINX Open Source
La función de diccionario compartido permite configurar NGINX sin necesidad de reiniciarlo al renovar los certificados SSL/TLS.
Exposición de APIs en Kubernetes
La unidad 2 de Microservices March 2022 se centra en cómo exponer tus API en Kubernetes. Aquí tienes enlaces a los recursos que necesitas: la retransmisión en directo del 14 de marzo, artículos de blog y otros recursos de preparación, y el laboratorio práctico «Protege las API de Kubernetes mediante la limitación de solicitudes».
NGINX Sprint 2.0: visión clara, código renovado y nuevos compromisos con el código abierto
Hoy, en NGINX Sprint 2.0, anunciamos cómo respaldaremos nuestra visión del futuro de las aplicaciones modernas con una mayor presencia en la comunidad de código abierto, incluida la participación en el proyecto comunitario Kubernetes, nuevos proyectos de software de código abierto y la arquitectura de referencia para aplicaciones modernas.
Presentamos NGINX Plus R22
NGINX Plus R22 incorpora nuevas funcionalidades, como la compatibilidad con OCSP para verificar la revocación de certificados en TLS mutuo, el uso de varios proveedores de identidad OIDC en una configuración, el seguimiento en tiempo real de la limitación de solicitudes y conexiones en el panel de NGINX Plus y mejoras en NGINX JavaScript.
Presentamos NGINX Plus R17
NGINX Plus R17 incorpora compatibilidad con la limitación de velocidad en dos fases y con TLS 1.3, la versión más reciente del protocolo Transport Layer Security. La configuración de OpenID Connect es más sencilla y NGINX ModSecurity WAF es el doble de rápido que antes. También se ha actualizado el módulo JavaScript de NGINX.