HTTP/3モジュールの脆弱性に対応するためのNGINXアップデート

NGINX | 2024年2月14日

本日、社内で発見されたHTTP/3モジュール「ngx_http_v3_module」の脆弱性に対応するため、NGINX Plus、NGINX Open source、NGINX Open Sourceサブスクリプションのアップデートをリリースします。これらの脆弱性は、NGINX Open sourceに関する2件のバグ報告（trac #2585およびtrac #2586）に基づいて発見されました。このモジュールはデフォルトでは有効になっておらず、ドキュメントでは試験的機能として記載されています。

これらの脆弱性はCommon Vulnerabilities and Exposures（CVE）データベースに登録され、F5 Security Incident Response Team（F5 SIRT）がCommon Vulnerability Scoring System（CVSS v3.1）の尺度を使用してスコアを付与しています。

以下のHTTP/3モジュールの脆弱性は、NGINX Plus、NGINX Open source subscription、NGINX Open sourceに該当します。

CVE-2024-24989：この脆弱性に対するパッチは、以下のソフトウェアバージョンに含まれています。

NGINX Plus R31 P1
NGINX Open source subscription R6 P1
NGINX Open sourceメインラインバージョン1.25.4。（最新のNGINX Open source安定版バージョン1.24.0は影響を受けません。）

CVE-2024-24990：この脆弱性に対するパッチは、以下のソフトウェアバージョンに含まれています。

NGINX Plus R30 P2
NGINX Plus R31 P1
NGINX Open source subscription R5 P2
NGINXオープンソースサブスクリプション R6 P1
NGINX Open sourceメインラインバージョン1.25.4（最新のNGINX Open source安定版1.24.0は影響を受けません）

NGINX Plus R30またはR31、NGINX Open sourceサブスクリプションパッケージR5またはR6、あるいはNGINX Open sourceメインラインバージョン1.25.3以前を実行している場合は、この問題の影響を受けます。NGINXソフトウェアを最新バージョンにアップグレードすることを強く推奨します。

NGINX Plusのアップグレード手順については、NGINX Plus Admin Guideの「Upgrading NGINX Plus」を参照してください。NGINX Plusをご利用のお客さまは、サポートが必要な場合、https://my.f5.com/からサポートチームにお問い合わせいただけます。