HTTP/2の多くの実装で脆弱性が最近発見されたことを受け、本日、NGINX Open SourceおよびNGINX Plusのアップデートをリリースします。HTTP/2が有効になっているすべてのシステムをアップグレードすることを強く推奨します。
2019年5月、Netflixの研究者が複数のセキュリティ脆弱性を発見しました。これらの脆弱性は、複数のHTTP/2サーバー実装に存在していました。関係する各ベンダーおよびメンテナーには、責任ある方法で報告されました。NGINXは、以下のCVEに詳述されている3つの攻撃ベクトルの影響を受けました。
- CVE-2019-9511（データの小出し）
- CVE-2019-9513（リソースループ）
- CVE-2019-9516（長さ0のヘッダーの漏えい）
以下のNGINXバージョンでは、これらの脆弱性に対処し、HTTP/2に関するその他のセキュリティ保護策も追加しました。
- NGINX 1.16.1（安定版）
- NGINX 1.17.3 (mainline)
- NGINX Plus R18 P1
著者について
関連するブログ記事
チュートリアル：NGINXを使用してアプリケーション向けにOpenTelemetryを構成する
OpenTelemetryを使用してNGINXサーバーの状態と健全性をより明確に把握することで、問題のトラブルシューティングを行い、Webアプリケーションのパフォーマンスを向上できます。
AkitaのNGINX Plus認定モジュールでAPIエンドポイントの問題を特定・修正
Akita SoftwareのAPIオブザーバビリティ向け新しいNGINX Plus Certified Moduleを活用して、APIエンドポイントの問題をより迅速に特定し、修正できます。
JavaプロジェクトをスキャフォールディングしてKubernetesネイティブアプリを構築する方法
Red HatのシニアプリンシパルデベロッパーアドボケイトであるDaniel Oh氏が、Javaプロジェクトをゼロから構築するためのひな形を作成し、Kubernetesネイティブアプリケーションとしてビルドする方法を解説します。
F5 NGINXaaS for Azureのご紹介：Microsoft Azureでネイティブに利用できるSaaS型ロードバランシング
NGINXaaS for Azureは、NGINX PlusをAzureネイティブのSaaSとして利用できるサービスです。NGINXの設定を容易にリフト＆シフトできるため、クラウド導入とモダンアプリの展開を加速できます。
SELinuxでNGINXおよびNGINX Plusを使用する
Red Hat Enterprise Linux（RHEL）および関連ディストリビューションでSecurity-Enhanced Linux（SELinux）を有効にすると、デフォルト設定によりNGINXとNGINX Plusの一部の操作が制限されます。この記事では、すべての機能を利用できるようにSELinuxの設定を変更する方法について説明します。
NGINX PlusによるAWS Auto Scalingグループの負荷分散
新しいnginx-asg-sync統合ソフトウェアにより、NGINX PlusはAWS Auto Scalingグループの負荷を直接分散できるため、クラウドでの負荷分散がさらに柔軟になります