今天，我们发布了NGINX Plus、NGINX Open Source、NGINX Open Source Subscription和NGINX Ingress Controller的更新，以应对近期发现的NGINX视频流模块漏洞。这些模块用于处理MP4和Apple HTTP Live Streaming（HLS）格式，分别为ngx_http_mp4_module和ngx_http_hls_module。（NGINX Open Source Subscription是NGINX Open Source的特别打包版本，仅在部分地区提供。）
这些漏洞已在通用漏洞披露（CVE）数据库中登记，F5安全事件响应团队（F5 SIRT）已使用通用漏洞评分系统（CVSS v3.1）对其进行评分。
MP4模块（ngx_http_mp4_module）中的以下漏洞会影响NGINX Plus、NGINX Open Source和NGINX Open Source Subscription。
- CVE-2022-41741（内存损坏），CVSS评分为7.1（高危）
- CVE-2022-41742（内存泄露），CVSS评分为7.0（高危）
HLS模块（ngx_http_hls_module）中的以下漏洞仅影响NGINX Plus。
- CVE-2022-41743（内存损坏），CVSS评分为7.0（高危）
以下软件版本包含针对这些漏洞的补丁：
- NGINX Plus R27 P1
- NGINX Plus R26 P1
- NGINX Open Source 1.23.2（主线版）
- NGINX Open Source 1.22.1（稳定版）
- NGINX Open Source 订阅版 R2 P1
- NGINX Open Source订阅 R1 P1
- NGINX Ingress Controller 2.4.1
- NGINX Ingress Controller 1.12.5
所有版本的NGINX Plus、NGINX Open Source、NGINX Open Source Subscription和NGINX Ingress Controller均受影响。强烈建议将NGINX软件升级到最新版本。
有关NGINX Plus升级说明，请参阅NGINX Plus管理指南中的“升级NGINX Plus”。NGINX Plus客户也可以通过https://my.f5.com/联系我们的支持团队获取帮助。
相关博客文章
NGINX Plus R26 正式发布
NGINX Plus R26通过缓存JSON Web密钥集加快JWT验证，并强化TLS握手，从而提升安全性。NGINX JavaScript的新功能包括增强对异步函数的支持，以及实现WebCrypto API。
使用NGINX App Protect DoS保护gRPC应用，抵御严重的DoS攻击
gRPC具备开发人员设计和部署现代应用所需的速度与灵活性，但其开放性也使其极易受到第7层DoS攻击。NGINX App Protect DoS可保护gRPC应用免受此类破坏性攻击。
Ingress Controller 选型指南（第 2 部分）：风险与面向未来的规划
了解选择错误的Ingress控制器可能带来的风险，以及如何从关键方面着手，让您的选择更好地适应未来需求。
NGINX Plus R19 正式发布
NGINX Plus R19扩展了监控功能，不仅提供更多指标，还新增了指标分析方式；增加试运行模式，用于测试限速效果；增强键值存储，以支持IP地址范围；并使限速更加动态。
NGINX现已正式加入F5
NGINX现已正式成为F5的一部分。Gus Robertson现任F5 NGINX业务部门负责人。他阐述了两家公司在人才、文化和愿景方面融合的价值，以及双方将如何携手增强NGINX的开源产品和商业产品。
