原文作者：NGINX 官方团队
原文链接：安全通告：NGINX HTTP/3 QUIC 漏洞
转载来源：NGINX 开源社区
NGINX 唯一中文官方社区 ，尽在 nginx.org.cn
F5 于昨晚发布了特别安全通告，涉及四个与 NGINX HTTP/3 QUIC 模块相关的中级数据面 CVE 漏洞，其中三个为 DoS 攻击类型风险，一个为随机信息泄漏风险，影响皆为允许未经身份认证的用户通过构造请求实施攻击。
受影响版本：
- NGINX 开源版 1.25.0 - 1.26.0
- NGINX Plus R30 - R31
目前 F5 已发布针对 NGINX 开源版和 NGINX Plus 的修复程序，请 NGINX 开源版用户以及 NGINX Plus 客户将软件更新到安全公告中的版本，或禁用 HTTP/3 QUIC 模块以避免造成负面影响。
修复版本：
- NGINX 开源版（稳定版）1.26.1
- NGINX 开源版（主线版）1.27.0
- NGINX Plus R32
- NGINX 企阅版 R6 P2
需要注意的是，ngx_http_v3_module 对于 NGINX 开源版来说不是默认编译组件，而对于 NGINX Plus R30 以上版本则为默认编译组件。请用户自行检查是否编译了 ngx_http_v3_module 模块且配置并启用了HTTP/3 QUIC功能。如未使用该功能，则不受影响。
NGINX 企业客户如需帮助，可联系您的销售代表或 F5 售后支持团队，为您评估这些漏洞对您的影响并协助进行问题修复。
NGINX 社区用户如需帮助，请微信添加小 N 助手（微信号：nginxoss）加入官方社区群，或邮件发送您的用例至 contactme_nginxapac@f5.com 以寻求商业支持服务。
下文请见四个安全漏洞的详细信息，点击此处前往 F5 官网查看与本通告相关的更多信息（英文）。
► 风险描述
当 NGINX Plus 或 NGINX 开源版配置为使用 HTTP/3 QUIC 模块时，未披露的 HTTP/3 请求会导致 NGINX 工作进程终止或造成其他潜在影响。这种攻击要求在连接耗尽过程中对请求进行特定计时，而攻击者对此没有可见性，影响也有限。
注意：此问题会影响使用 ngx _http_v3_module 模块编译的 NGINX 系统，且其配置包含启用了 QUIC 选项的侦听指令。HTTP/3 QUIC 模块被视为一项实验功能，在 NGINX 开源版中默认不编译，但在 NGINX Plus 中默认编译。
► 漏洞影响
当工作进程重新启动时，客户端流量可能会中断。该漏洞允许未经身份验证的远程攻击者造成拒绝服务（DoS）或其他潜在影响。
This issue has been classified as CWE-121: Stack-based Buffer Overflow.
► 缓解措施
建议您升级到修复的软件版本，以完全缓解此漏洞。如果此时无法升级，可以在 NGINX 配置中禁用 HTTP/3 模块。有关详细信息，请参阅 ngx_http_v3_module 模块页面。
► 风险描述
当 NGINX Plus 或 NGINX 开源版配置为使用 HTTP/3 QUIC 模块时，未披露的 HTTP/3 编码器指令可能会导致 NGINX 工作进程终止或造成其他潜在影响。
注意：此问题会影响使用 ngx _http_v3_module 模块编译的 NGINX 系统，且其配置包含启用了 QUIC 选项的侦听指令。HTTP/3 QUIC 模块被视为一项实验功能，在 NGINX 开源版中默认不编译，但在 NGINX Plus 中默认编译。
► 漏洞影响
当工作进程重新启动时，客户端流量可能会中断。利用该漏洞，未经身份验证的远程攻击者可导致拒绝服务（DoS）或其他潜在影响。
This issue has been classified as CWE-787: Out-of-bounds Write.
► 缓解措施
建议您升级到修复的软件版本，以完全缓解此漏洞。如果此时无法升级，可以在 NGINX 配置中禁用 HTTP/3 模块。有关详细信息，请参阅 ngx_http_v3_module 模块页面。
► 风险描述
当 NGINX Plus 或 NGINX 开源版被配置为使用 HTTP/3 QUIC 模块时，未披露的 HTTP/3 请求会导致 NGINX 工作进程终止。
注意：此问题会影响使用 ngx _http_v3_module 模块编译的 NGINX 系统，且其配置包含启用了 QUIC 选项的侦听指令。HTTP/3 QUIC 模块被视为一项实验功能，在 NGINX 开源版中默认不编译，但在 NGINX Plus 中默认编译。
► 漏洞影响
当工作进程重新启动时，客户端流量可能会中断。利用此漏洞，未经身份验证的远程攻击者可导致拒绝服务（DoS）。
This issue has been classified as CWE-476: NULL Pointer Dereference.
► 缓解措施
建议您升级到修复的软件版本，以完全缓解此漏洞。如果此时无法升级，可以在 NGINX 配置中禁用 HTTP/3 模块。有关详细信息，请参阅ngx_http_v3_module 模块页面。
► 风险描述
当 NGINX Plus 或 NGINX 开源版被配置为使用 HTTP/3 QUIC 模块，且网络基础架构支持 4096 或更大的最大传输单元 (MTU)（无分片）时，未披露的 QUIC 数据包会导致 NGINX 工作进程泄漏先前释放的内存。
注意：此问题会影响使用 ngx _http_v3_module 模块编译的 NGINX 系统，且其配置包含启用了 QUIC 选项的侦听指令。HTTP/3 QUIC 模块被视为一项实验功能，在 NGINX 开源版中默认不编译，但在 NGINX Plus 中默认编译。
► 漏洞影响
此漏洞允许未经身份验证的远程攻击者获取先前释放的内存信息。可能泄漏的内存是随机的，攻击者无法控制，并且该内存信息的范围不包括 NGINX 配置或私钥。
This issue has been classified as CWE-416 Use After Free."
► 缓解措施
建议您升级到修复的软件版本，以完全缓解此漏洞。如果此时无法升级，请确保网络基础设施只允许小于 4096 的最大传输单元 (MTU)。
NGINX 唯一中文官方社区 ，尽在 nginx.org.cn
更多 NGINX 相关的技术干货、互动问答、系列课程、活动资源： 开源社区官网 | 微信公众号
微信关注我们
转载内容版权归作者及来源网站所有！
低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。
Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。
Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。
Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。
Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。
扫码在手机上查看文章
扫描二维码，手机阅读更方便
有任何问题或合作意向欢迎联系我们
Email: 99873273@qq.com
QQ: 99873273