今天，我们发布了NGINX Plus、NGINX Open Source和NGINX Open Source订阅的更新，以应对内部发现的HTTP/3模块ngx_http_v3_module中的漏洞。这些漏洞是根据NGINX Open Source中的两份错误报告（trac #2585和trac #2586）发现的。请注意，此模块默认未启用，文档中将其标注为实验性模块。
这些漏洞已在通用漏洞披露（CVE）数据库中登记，F5安全事件响应团队（F5 SIRT）已使用通用漏洞评分系统（CVSS v3.1）量表对其进行评分。
以下HTTP/3模块中的漏洞会影响NGINX Plus、NGINX开源订阅版和NGINX开源版。
CVE-2024-24989：以下软件版本中包含此漏洞的补丁：
- NGINX Plus R31 P1
- NGINX Open Source Subscription R6 P1
- NGINX Open source主线版本1.25.4。（最新的NGINX Open source稳定版本1.24.0不受影响。）
CVE-2024-24990：以下软件版本包含此漏洞的补丁：
- NGINX Plus R30 P2
- NGINX Plus R31 P1
- NGINX Open Source Subscription R5 P2
- NGINX开源订阅R6 P1
- NGINX Open source主线版本1.25.4。（最新的NGINX Open source稳定版本1.24.0不受影响。）
如果您正在运行NGINX Plus R30或R31、NGINX开源订阅包R5或R6，或者NGINX开源主线版本1.25.3或更早版本，则会受到影响。强烈建议将NGINX软件升级到最新版本。
有关NGINX Plus升级说明，请参阅《升级NGINX Plus》（位于《NGINX Plus管理指南》中）。NGINX Plus客户也可以通过以下网址联系我们的支持团队获取帮助：https://my.f5.com/。
相关博客文章
NGINX Plus R26 正式发布
NGINX Plus R26通过缓存JSON Web密钥集加快JWT验证，并强化TLS握手，从而提升安全性。NGINX JavaScript的新功能包括增强对异步函数的支持，以及实现WebCrypto API。
使用NGINX App Protect DoS保护gRPC应用，抵御严重的DoS攻击
gRPC具备开发人员设计和部署现代应用所需的速度与灵活性，但其开放性也使其极易受到第7层DoS攻击。NGINX App Protect DoS可保护gRPC应用免受此类破坏性攻击。
Ingress Controller 选型指南（第 2 部分）：风险与面向未来的规划
了解选择错误的Ingress控制器可能带来的风险，以及如何从关键方面着手，让您的选择更好地适应未来需求。
NGINX Plus R19 正式发布
NGINX Plus R19扩展了监控功能，不仅提供更多指标，还新增了指标分析方式；增加试运行模式，用于测试限速效果；增强键值存储，以支持IP地址范围；并使限速更加动态。
NGINX现已正式加入F5
NGINX现已正式成为F5的一部分。Gus Robertson现任F5 NGINX业务部门负责人。他阐述了两家公司在人才、文化和愿景方面融合的价值，以及双方将如何携手增强NGINX的开源产品和商业产品。
