Публикувана версия на лек HTTP сървъра lighttpd 1.4.76, насочена към комбинация от висока производителност, сигурност, съответствие със стандартите и гъвкавост при конфигурирането. Lighttpd е подходящ за използване в системи с високи натоварвания и е насочен към ниска консумация на памет и CPU ресурси. Кодът на проекта е написан на C и се разпространява под BSD лиценз.
В новата версия:
- Обезпечено е откритие на атака "Continuation flood", извършвана чрез изпращане на сървър HTTP/2 непрекъснат поток от CONTINUATION кадри без задаване на флаг END_HEADERS. Утвърдено е, че тази атака не води до отказ на обслужване на lighttpd, но като допълнителна мярка е добавено нейното откритие и изпращане на отговор GO_AWAY.
- Отчетен е инцидент с внедряване на бекдор в пакета xz. При създаване на версии за компилиране на зависимости сега се използва получаване на кода от Git с команда "git archive" с верификация по етикети на версията и без сваляне на готови архиви с код.
- По подразбиране е предоставен вграденият файл mimetype.assign.
- Добавена е поддръжка на MPTCP (MultiPath TCP), която не е активирана по подразбиране.
- Подобрена е поддръжката на платформи GNU/Hurd и NetBSD 10.
- Намалено е броят на системните повиквания, извършвани при свързване с бекенда.
- В следващите версии е планирано TLSv1.3 да бъде зададено като минимално поддържана по подразбиране версия на протокола TLS (в момента параметърът MinProtocol е зададен на TLSv1.2). В бъдеще обработчикът server.error-handler-404 ще бъде ограничен само до обработка на грешки 404 (в момента се обработват както 404, така и 403).
Също така може да се отбележи версията на HTTP сървъра Apache 2.4.59, в която са представени 21 промени и са отстранени три уязвимости:
- CVE-2024-27316 — уязвимост, водеща до изчерпване на наличната памет при атака "Continuation flood."
- CVE-2024-24795, CVE-2023-38709 — възможност за извършване на атака при разделяне на HTTP отговорите в системи фронтенд-бекенд, позволяваща подмяна на допълнителни заглавия на отговори или разделяне на отговорите, за да се вмъкнат съдържания на отговорите на други потребители, обработвани в същия поток между фронтена и бекенда.
- В модула mod_cgi е добавен параметърът CGIScriptTimeout за задаване на таймаут за изпълнение на скрипта.
- В mod_xml2enc е осигурена съвместимост с libxml2 2.12.0 и по-нови версии.
- В mod_ssl за обработка на списъците с имена на удостоверяващи центрове при обработката на директивите SSLCACertificatePath и SSLCADNRequestPath са използвани стандартни функции на OpenSSL.
- В mod_xml2enc е реализирана обработка на XML за всякакви MIME типове text/* и XML, за да се избегне повреждането на данни в формати Microsoft OOXML.
- В утилитата htcacheclean, при задаване на опции -a/-A, е реализиран обход на всички файлове за всяка поддиректория.
- В mod_ssl, в директивите SSLProxyMachineCertificateFile/Path, е разрешено позоваване на файлове, съдържащи сертификати на удостоверяващи центрове.
- В документацията за утилитите htpasswd, htdbm и dbmmanage е уточнено, че в тях се използва хеширане, а не криптиране на пароли.
- В htpasswd е добавена поддръжка за обработка на хешове на пароли с алгоритъм SHA-2.
- В mod_env е разрешено презаписването на системни променливи на средата.
- В mod_ldap е реализирано екрантиране на HTML данни в заглавката ldap-status.
- В mod_ssl е подобрена съвместимостта с OpenSSL 3 и е осигурено освобождаване на паметта за системата.
- В mod_proxy е разрешено задаването на TTL за конфигуриране на времето на живот на записа в кеша на DNS отговорите.
- В mod_proxy е добавена поддръжка на трети аргумент в параметъра ProxyRemote, чрез който могат да се конфигурират предаваните на външния прокси данни за удостоверяване за основната автентикация.
Източник: opennet.ru
