F5 NGINX s’engage à garantir un cycle de vie logiciel sécurisé, notamment grâce à des processus de conception, de développement et de test optimisés afin de détecter les problèmes de sécurité avant la publication. Bien que nous accordions la priorité à la modélisation des menaces, au codage sécurisé, à la formation et aux tests, des vulnérabilités peuvent parfois survenir.
Le mois dernier, un membre de la communauté NGINX Open Source a signalé deux bugs dans le module HTTP/3 qui provoquaient le plantage de NGINX Open Source. Nous avons déterminé qu’un acteur malveillant pouvait provoquer une attaque par déni de service contre des instances NGINX en envoyant des requêtes HTTP/3 spécialement conçues. C’est pourquoi NGINX vient d’annoncer deux vulnérabilités : CVE-2024-24989 et CVE-2024-24990.
Les vulnérabilités ont été enregistrées dans la base de données Common Vulnerabilities and Exposures (CVE), et la F5 Security Incident Response Team (F5 SIRT) leur a attribué des scores selon l’échelle du Common Vulnerability Scoring System (CVSS v3.1).
Lors de leur publication, les fonctionnalités QUIC et HTTP/3 de NGINX étaient considérées comme expérimentales. Historiquement, nous ne publiions pas de CVE pour les fonctionnalités expérimentales. Nous corrigions plutôt le code concerné et intégrions le correctif à une version standard. Pour les clients commerciaux de NGINX Plus, les deux versions précédentes étaient corrigées, puis mises à leur disposition. Nous estimions que ne pas publier de correctif similaire pour NGINX Open Source aurait desservi notre communauté. En outre, corriger le problème dans la branche open source aurait exposé les utilisateurs à la vulnérabilité sans leur fournir de fichier binaire.
Notre décision de publier un correctif à la fois pour NGINX Open Source et NGINX Plus repose sur notre volonté de faire ce qui est juste : fournir des logiciels hautement sécurisés à nos clients et à notre communauté. En outre, nous nous engageons à formaliser et à publier une politique claire précisant comment les futures vulnérabilités de sécurité seront traitées de manière rapide et transparente.
À propos de l’auteur
Articles de blog associés
Tendances actuelles des technologies cloud natives, de l’ingénierie de plateforme et de l’IA
Découvrez les principaux enseignements tirés des réponses à l’enquête annuelle F5 NGINX sur les dernières tendances en matière de technologies cloud natives, de sécurité, d’ingénierie de plateforme et d’IA.
Quels contrôleurs Ingress NGINX sont affectés par les vulnérabilités CVE-2022-4886, CVE-2023-5043 et CVE-2023-5044 ?
Lorsque de nouvelles CVE sont signalées, il est facile de ne plus savoir si elles concernent un outil de contrôleur Ingress NGINX particulier, car il existe plusieurs projets. Cet article présente les CVE et explique comment distinguer les différents projets de contrôleurs Ingress afin de dissiper toute confusion.
Votre API est-elle en temps réel ? Testez sa latence avec l’outil rtapi de NGINX
Votre API répond-elle aux requêtes en moins de 30 ms ? Si ce n’est pas le cas, il ne s’agit pas d’une API en temps réel offrant la faible latence exigée par la grande majorité des organisations. Mesurez la latence de votre API avec l’outil rtapi de NGINX et découvrez comment NGINX peut l’aider à offrir une réactivité en temps réel.
Un testeur d’expressions régulières pour NGINX et NGINX Plus
Le testeur d’expressions régulières (regex) pour NGINX et NGINX Plus vous évite de tâtonner en vous indiquant si une expression régulière utilisée dans un bloc location ou map correspond aux valeurs comme prévu. Il génère la configuration appropriée et affiche les valeurs des groupes de capture.
Caches partagés avec les clusters de cache NGINX Plus, partie 1
Optimisez la capacité de votre cache web en le répartissant entre plusieurs serveurs de cache web NGINX ou NGINX Plus. Découvrez comment procéder dans cet article.
Introduction aux microservices
Les microservices suscitent actuellement beaucoup d’intérêt. Cet article de blog est le premier d’une série de sept consacrée à la conception, au développement et au déploiement de microservices.