Las actualizaciones de NGINX mitigan las vulnerabilidades HTTP/2 de agosto de 2019

Hoy lanzamos actualizaciones de NGINX Open Source y NGINX Plus en respuesta al reciente descubrimiento de vulnerabilidades en muchas implementaciones de HTTP/2. Recomendamos encarecidamente actualizar todos los sistemas que tengan HTTP/2 habilitado.

En mayo de 2019, investigadores de Netflix descubrieron una serie de vulnerabilidades de seguridad en varias implementaciones de servidores HTTP/2. Estos fueron reportados responsablemente a cada uno de los proveedores y mantenedores involucrados. NGINX era vulnerable a tres vectores de ataque, como se detalla en los siguientes CVE:

• CVE-2019-9511 (Dragmento de datos)
• CVE-2019-9513 (Bucle de recursos)
• CVE-2019-9516 (Fuga de encabezados de longitud cero)

Hemos abordado estas vulnerabilidades y agregado otras medidas de seguridad HTTP/2 en las siguientes versiones de NGINX:

• NGINX 1.16.1 (estable)
• NGINX 1.17.3 (línea principal)
• NGINX Plus R18 P1