Aujourd’hui, nous publions des mises à jour pour NGINX Plus, NGINX Open Source, NGINX Open Source Subscription et NGINX Ingress Controller afin de corriger des vulnérabilités récemment découvertes dans les modules NGINX de streaming vidéo aux formats MP4 et Apple HTTP Live Streaming (HLS), ngx_http_mp4_module et ngx_http_hls_module. (NGINX Open Source Subscription est une édition spécialement conditionnée de NGINX Open Source, disponible dans certaines régions.)
Les vulnérabilités ont été enregistrées dans la base de données Common Vulnerabilities and Exposures (CVE), et la F5 Security Incident Response Team (F5 SIRT) leur a attribué des scores selon l’échelle du Common Vulnerability Scoring System (CVSS v3.1).
Les vulnérabilités suivantes du module MP4 (ngx_http_mp4_module) concernent NGINX Plus, NGINX Open Source et l’abonnement NGINX Open Source.
- CVE-2022-41741 (Corruption de mémoire) – Score CVSS de 7,1 (Élevé)
- CVE-2022-41742 (Divulgation de mémoire) – Score CVSS de 7,0 (Élevé)
La vulnérabilité suivante dans le module HLS (ngx_http_hls_module) concerne uniquement NGINX Plus.
- CVE-2022-41743 (Corruption de mémoire) – Score CVSS de 7,0 (Élevé)
Les correctifs de ces vulnérabilités sont inclus dans les versions logicielles suivantes :
- NGINX Plus R27 P1
- NGINX Plus R26 P1
- NGINX Open Source 1.23.2 (branche principale)
- NGINX Open Source 1.22.1 (stable)
- Abonnement NGINX Open Source R2 P1
- Abonnement NGINX Open Source R1 P1
- Contrôleur Ingress NGINX 2.4.1
- Contrôleur Ingress NGINX 1.12.5
Toutes les versions de NGINX Plus, NGINX Open Source, NGINX Open Source Subscription et NGINX Ingress Controller sont concernées. Nous vous recommandons vivement de mettre à niveau votre logiciel NGINX vers la dernière version.
Pour obtenir des instructions sur la mise à niveau de NGINX Plus, consultez la section « Mise à niveau de NGINX Plus » du Guide d’administration de NGINX Plus. Les clients de NGINX Plus peuvent également contacter notre équipe d’assistance à l’adresse https://my.f5.com/.
À propos de l’auteur
Articles de blog associés
Tendances actuelles des technologies cloud natives, de l’ingénierie de plateforme et de l’IA
Découvrez les principaux enseignements tirés des réponses à l’enquête annuelle F5 NGINX sur les dernières tendances en matière de technologies cloud natives, de sécurité, d’ingénierie de plateforme et d’IA.
Quels contrôleurs Ingress NGINX sont affectés par les vulnérabilités CVE-2022-4886, CVE-2023-5043 et CVE-2023-5044 ?
Lorsque de nouvelles CVE sont signalées, il est facile de ne plus savoir si elles concernent un outil de contrôleur Ingress NGINX particulier, car il existe plusieurs projets. Cet article présente les CVE et explique comment distinguer les différents projets de contrôleurs Ingress afin de dissiper toute confusion.
Votre API est-elle en temps réel ? Testez sa latence avec l’outil rtapi de NGINX
Votre API répond-elle aux requêtes en moins de 30 ms ? Si ce n’est pas le cas, il ne s’agit pas d’une API en temps réel offrant la faible latence exigée par la grande majorité des organisations. Mesurez la latence de votre API avec l’outil rtapi de NGINX et découvrez comment NGINX peut l’aider à offrir une réactivité en temps réel.
Un testeur d’expressions régulières pour NGINX et NGINX Plus
Le testeur d’expressions régulières (regex) pour NGINX et NGINX Plus vous évite de tâtonner en vous indiquant si une expression régulière utilisée dans un bloc location ou map correspond aux valeurs comme prévu. Il génère la configuration appropriée et affiche les valeurs des groupes de capture.
Caches partagés avec les clusters de cache NGINX Plus, partie 1
Optimisez la capacité de votre cache web en le répartissant entre plusieurs serveurs de cache web NGINX ou NGINX Plus. Découvrez comment procéder dans cet article.
Introduction aux microservices
Les microservices suscitent actuellement beaucoup d’intérêt. Cet article de blog est le premier d’une série de sept consacrée à la conception, au développement et au déploiement de microservices.