F5 NGINX致力于构建安全的软件生命周期，包括经过优化的设计、开发和测试流程，以便在发布前发现安全问题。尽管我们优先开展威胁建模、安全编码、培训和测试，但仍可能偶尔出现漏洞。
上个月，一名NGINX Open Source社区成员报告了HTTP/3模块中的两个错误，这些错误会导致NGINX Open Source崩溃。我们确定，恶意行为者可通过发送特制的HTTP/3请求，对NGINX实例发起拒绝服务攻击。因此，NGINX刚刚公布了两个漏洞：CVE-2024-24989和CVE-2024-24990。
这些漏洞已登记到常见漏洞与披露（CVE）数据库中，F5安全事件响应团队（F5 SIRT）已使用通用漏洞评分系统（CVSS v3.1）对其进行评分。
发布时，NGINX中的QUIC和HTTP/3功能被视为实验性功能。以往，我们不会为实验性功能发布CVE，而是修补相关代码，并将其纳入标准版本发布。对于NGINX Plus商业客户，我们会修补此前的两个版本并向客户发布。我们认为，如果不为NGINX Open Source发布类似补丁，将有负于我们的社区。此外，如果在开源分支中修复此问题却不提供二进制文件，用户将面临该漏洞暴露的风险。
我们决定同时为NGINX Open Source和NGINX Plus发布补丁，是因为我们希望做正确的事，为客户和社区提供高度安全的软件。此外，我们承诺制定并发布明确的政策，说明今后如何及时、透明地处理安全漏洞。
相关博客文章
NGINX Plus R26 正式发布
NGINX Plus R26通过缓存JSON Web密钥集加快JWT验证，并强化TLS握手，从而提升安全性。NGINX JavaScript的新功能包括增强对异步函数的支持，以及实现WebCrypto API。
使用NGINX App Protect DoS保护gRPC应用，抵御严重的DoS攻击
gRPC具备开发人员设计和部署现代应用所需的速度与灵活性，但其开放性也使其极易受到第7层DoS攻击。NGINX App Protect DoS可保护gRPC应用免受此类破坏性攻击。
Ingress Controller 选型指南（第 2 部分）：风险与面向未来的规划
了解选择错误的Ingress控制器可能带来的风险，以及如何从关键方面着手，让您的选择更好地适应未来需求。
NGINX Plus R19 正式发布
NGINX Plus R19扩展了监控功能，不仅提供更多指标，还新增了指标分析方式；增加试运行模式，用于测试限速效果；增强键值存储，以支持IP地址范围；并使限速更加动态。
NGINX现已正式加入F5
NGINX现已正式成为F5的一部分。Gus Robertson现任F5 NGINX业务部门负责人。他阐述了两家公司在人才、文化和愿景方面融合的价值，以及双方将如何携手增强NGINX的开源产品和商业产品。
