NGINXが実践する、ユーザーのセキュリティ確保に向けた継続的な取り組み

Nina Forsyth

F5 NGINXは、リリース前にセキュリティ上の懸念を発見できるよう最適化された設計、開発、テストを含む、セキュアなソフトウェアライフサイクルに取り組んでいます。脅威モデリング、セキュアコーディング、トレーニング、テストを重視していますが、脆弱性が発生する場合もあります。

先月、NGINX Open Sourceコミュニティのメンバーから、NGINX Open Sourceのクラッシュを引き起こすHTTP/3モジュールの2件のバグが報告されました。調査の結果、悪意のある攻撃者が細工したHTTP/3リクエストを送信することで、NGINXインスタンスに対してサービス拒否攻撃を引き起こす可能性があることが判明しました。このため、NGINXは2件の脆弱性を発表しました：CVE-2024-24989およびCVE-2024-24990。

これらの脆弱性はCommon Vulnerabilities and Exposures（CVE）データベースに登録され、F5 Security Incident Response Team（F5 SIRT）がCommon Vulnerability Scoring System（CVSS v3.1）の尺度を使用してスコアを付与しています。

NGINXのQUICおよびHTTP/3機能は、リリース時点では実験的な機能と位置付けられていました。従来、実験的な機能についてはCVEを発行せず、該当するコードにパッチを適用し、通常のリリースの一部として提供していました。NGINX Plusの商用版をご利用のお客さまには、直前の2つのバージョンにパッチを適用して提供していました。NGINX Open Sourceに同様のパッチを提供しないことは、コミュニティの利益に反すると判断しました。また、バイナリを提供せずにオープンソースブランチで問題を修正すると、ユーザーに脆弱性を明らかにすることになっていました。

NGINX Open SourceとNGINX Plusの両方にパッチをリリースするという決定は、お客さまとコミュニティに高いセキュリティを備えたソフトウェアを提供するという、正しい行動を取る姿勢に基づいています。さらに、今後セキュリティ脆弱性に迅速かつ透明性のある方法で対処するための明確なポリシーを文書化し、公開することをお約束します。

著者について

Nina Forsyth

Nina Forsythのその他のブログ記事