Выпуск http-сервера lighttpd 1.4.54 с включением нормализации URL

Опубликован релиз легковесного http-сервера lighttpd 1.4.54. В новой версии представлено 149 изменений, из которых выделяется включение нормализации URL по умолчанию, переработка mod_webdav и проведение работы по оптимизации производительности.

Начиная с lighttpd 1.4.54 изменено поведение сервера, связанное с нормализацией URL при обработке HTTP-запросов. Активированы опции жёсткой проверки значений в заголовке Host, а также включена нормализация передаваемых в заголовках ссылок и блокирование ссылок с неэкранированными управляющими символами. В процессе нормализации включено автоматическое преобразование ‘\’ в ‘/’, «%2F» в «/», ‘%20’ в ‘+’, разрешение и удаление частей файловых путей с каталогами ‘.’ и ‘..’, декодирование экранированных символов ‘-‘, ‘.’, ‘_’ и ‘~’.

При желании поведение обработки URL можно изменить в настройках при помощи опций «header-strict», «host-strict», «host-normalize», «url-normalize», «url-normalize-unreserved», «url-normalize-required»,
«url-ctrls-reject», «url-path-2f-decode», «url-path-dotseg-remove» и «url-query-20-plus», которые теперь выставлены в значение «enable».

Из других изменений отмечается полная переработка модуля mod_webdav, которая позволила добиться полной совместимости со спецификациями, повысить производительность и надёжность работы. Из нарушающих совместимость изменений в mod_webdav упоминается блокирование неполных запросов PUT. В mod_auth добавлена поддержка алгоритма SHA-256 для хэширования параметров аутентификации (HTTP Auth Digest).
Вместо mod_geoip предложен новый модуль mod_maxminddb (mod_geoip теперь объявлен устаревшим).

Источник: opennet.ru