Nous publions aujourd’hui des mises à jour de NGINX Open Source et de NGINX Plus à la suite de la découverte récente de vulnérabilités dans de nombreuses implémentations de HTTP/2. Nous recommandons vivement de mettre à niveau tous les systèmes sur lesquels HTTP/2 est activé.
En mai 2019, des chercheurs de Netflix ont découvert plusieurs vulnérabilités de sécurité dans plusieurs implémentations de serveurs HTTP/2. Celles-ci ont été signalées de manière responsable à chacun des fournisseurs et responsables de maintenance concernés. NGINX était vulnérable à trois vecteurs d’attaque, détaillés dans les CVE suivantes :
- CVE-2019-9511 (Égouttement de données)
- CVE-2019-9513 (Boucle de ressources)
- CVE-2019-9516 (Fuite liée aux en-têtes de longueur nulle)
Nous avons corrigé ces vulnérabilités et ajouté d’autres mesures de protection pour la sécurité de HTTP/2 dans les versions suivantes de NGINX :
- NGINX 1.16.1 (version stable)
- NGINX 1.17.3 (branche principale)
- NGINX Plus R18 P1
À propos de l’auteur
Articles de blog associés
Tendances actuelles des technologies cloud natives, de l’ingénierie de plateforme et de l’IA
Découvrez les principaux enseignements tirés des réponses à l’enquête annuelle F5 NGINX sur les dernières tendances en matière de technologies cloud natives, de sécurité, d’ingénierie de plateforme et d’IA.
Quels contrôleurs Ingress NGINX sont affectés par les vulnérabilités CVE-2022-4886, CVE-2023-5043 et CVE-2023-5044 ?
Lorsque de nouvelles CVE sont signalées, il est facile de ne plus savoir si elles concernent un outil de contrôleur Ingress NGINX particulier, car il existe plusieurs projets. Cet article présente les CVE et explique comment distinguer les différents projets de contrôleurs Ingress afin de dissiper toute confusion.
Votre API est-elle en temps réel ? Testez sa latence avec l’outil rtapi de NGINX
Votre API répond-elle aux requêtes en moins de 30 ms ? Si ce n’est pas le cas, il ne s’agit pas d’une API en temps réel offrant la faible latence exigée par la grande majorité des organisations. Mesurez la latence de votre API avec l’outil rtapi de NGINX et découvrez comment NGINX peut l’aider à offrir une réactivité en temps réel.
Un testeur d’expressions régulières pour NGINX et NGINX Plus
Le testeur d’expressions régulières (regex) pour NGINX et NGINX Plus vous évite de tâtonner en vous indiquant si une expression régulière utilisée dans un bloc location ou map correspond aux valeurs comme prévu. Il génère la configuration appropriée et affiche les valeurs des groupes de capture.
Caches partagés avec les clusters de cache NGINX Plus, partie 1
Optimisez la capacité de votre cache web en le répartissant entre plusieurs serveurs de cache web NGINX ou NGINX Plus. Découvrez comment procéder dans cet article.
Introduction aux microservices
Les microservices suscitent actuellement beaucoup d’intérêt. Cet article de blog est le premier d’une série de sept consacrée à la conception, au développement et au déploiement de microservices.