Hoy publicamos actualizaciones de NGINX Plus, NGINX Open Source, NGINX Open Source Subscription y NGINX Ingress Controller en respuesta a vulnerabilidades descubiertas recientemente en los módulos de NGINX para la transmisión de vídeo en los formatos MP4 y Apple HTTP Live Streaming (HLS), ngx_http_mp4_module y ngx_http_hls_module. (NGINX Open Source Subscription es una edición de NGINX Open Source con un empaquetado especial que está disponible en determinadas regiones).
Las vulnerabilidades se han registrado en la base de datos Common Vulnerabilities and Exposures (CVE), y el Equipo de Respuesta a Incidentes de Seguridad de F5 (F5 SIRT) les ha asignado puntuaciones utilizando la escala del Sistema Común de Puntuación de Vulnerabilidades (CVSS v3.1).
Las siguientes vulnerabilidades del módulo MP4 (ngx_http_mp4_module) afectan a NGINX Plus, NGINX Open Source y NGINX Open Source Subscription.
- CVE-2022-41741 (Corrupción de memoria) – Puntuación CVSS de 7.1 (Alta)
- CVE-2022-41742 (Divulgación de memoria) – Puntuación CVSS de 7.0 (Alta)
La siguiente vulnerabilidad del módulo HLS (ngx_http_hls_module) afecta únicamente a NGINX Plus.
- CVE-2022-41743 (Corrupción de memoria) – Puntuación CVSS de 7.0 (Alta)
Los parches para estas vulnerabilidades están incluidos en las siguientes versiones de software:
- NGINX Plus R27 P1
- NGINX Plus R26 P1
- NGINX Open Source 1.23.2 (rama principal)
- NGINX Open Source 1.22.1 (estable)
- Suscripción a NGINX Open Source R2 P1
- Suscripción a NGINX Open Source R1 P1
- Controlador de Ingress de NGINX 2.4.1
- Controlador de Ingress de NGINX 1.12.5
Todas las versiones de NGINX Plus, NGINX Open Source, la suscripción a NGINX Open Source y NGINX Ingress Controller están afectadas. Le recomendamos encarecidamente que actualice su software NGINX a la versión más reciente.
Para obtener instrucciones sobre cómo actualizar NGINX Plus, consulte Actualización de NGINX Plus en la Guía de administración de NGINX Plus. Los clientes de NGINX Plus también pueden ponerse en contacto con nuestro equipo de soporte para obtener ayuda en https://my.f5.com/.
Sobre el autor
Artículos relacionados del blog
Únete a F5 NGINX en AppWorld 2024
Descubre las numerosas razones para asistir al evento insignia de F5, que incluirá un emocionante anuncio sobre la cartera de productos NGINX.
Rotación de certificados SSL/TLS sin reinicios en NGINX Open Source
La función de diccionario compartido permite configurar NGINX sin necesidad de reiniciarlo al renovar los certificados SSL/TLS.
Exposición de APIs en Kubernetes
La unidad 2 de Microservices March 2022 se centra en cómo exponer tus API en Kubernetes. Aquí tienes enlaces a los recursos que necesitas: la retransmisión en directo del 14 de marzo, artículos de blog y otros recursos de preparación, y el laboratorio práctico «Protege las API de Kubernetes mediante la limitación de solicitudes».
NGINX Sprint 2.0: visión clara, código renovado y nuevos compromisos con el código abierto
Hoy, en NGINX Sprint 2.0, anunciamos cómo respaldaremos nuestra visión del futuro de las aplicaciones modernas con una mayor presencia en la comunidad de código abierto, incluida la participación en el proyecto comunitario Kubernetes, nuevos proyectos de software de código abierto y la arquitectura de referencia para aplicaciones modernas.
Presentamos NGINX Plus R22
NGINX Plus R22 incorpora nuevas funcionalidades, como la compatibilidad con OCSP para verificar la revocación de certificados en TLS mutuo, el uso de varios proveedores de identidad OIDC en una configuración, el seguimiento en tiempo real de la limitación de solicitudes y conexiones en el panel de NGINX Plus y mejoras en NGINX JavaScript.
Presentamos NGINX Plus R17
NGINX Plus R17 incorpora compatibilidad con la limitación de velocidad en dos fases y con TLS 1.3, la versión más reciente del protocolo Transport Layer Security. La configuración de OpenID Connect es más sencilla y NGINX ModSecurity WAF es el doble de rápido que antes. También se ha actualizado el módulo JavaScript de NGINX.