Byl vydán release lehkého http serveru lighttpd 1.4.76, zaměřeného na kombinaci vysokého výkonu, bezpečnosti, souladu s normami a flexibility nastavení. Lighttpd je vhodný pro nasazení na vysoce zatížených systémech a je orientován na nízkou spotřebu paměti a CPU. Kód projektu je napsán v jazyce C a je distribuován pod licencí BSD.
V nové verzi:
- Byla zajištěna detekce útoku "Continuation flood", prováděného zasíláním na server HTTP/2 nepřetržitého proudu rámců CONTINUATION bez nastavení příznaku END_HEADERS. Tvrdí se, že tento útok nevede k selhání lighttpd, ale jako další opatření byla přidána jeho detekce a odeslání odpovědi GO_AWAY.
- Byl zohledněn incident s implantací backdooru do balíku xz. Při vytváření release pro sestavení závislostí se nyní používá získání kódu z Gitu pomocí příkazu "git archive" s ověřením podle tagů release a bez stahování hotových archivů s kódem.
- Ve výchozím nastavení je k dispozici vestavěný soubor mimetype.assign.
- Byla přidána podpora rozšíření MPTCP (MultiPath TCP), která není ve výchozím nastavení aktivována.
- Byla vylepšena podpora platforem GNU/Hurd a NetBSD 10.
- Byl snížen počet systémových volání prováděných při připojení k backendu.
- V následujících vydáních se plánuje nastavit TLSv1.3 jako minimálně podporovanou výchozí verzi protokolu TLS (aktuálně je parametr MinProtocol nastaven na hodnotu TLSv1.2). V budoucnu bude obhandler server.error-handler-404 omezen pouze na zpracování chyb 404 (aktuálně se zpracovává jak 404, tak 403).
Dále můžeme zmínit vydání HTTP serveru Apache 2.4.59, ve kterém bylo představeno 21 změn a vyřešeny tři zranitelnosti:
- CVE-2024-27316 — zranitelnost, která vede k vyčerpání volné paměti při provádění útoku "Continuation flood".
- CVE-2024-24795, CVE-2023-38709 — možnost provedení útoku na oddělení odpovědí HTTP v systémech frontend-backend, který umožňuje dosažení vložení dalších hlaviček odpovědi nebo rozdělení odpovědí, aby se vklínily do obsahu odpovědí ostatním uživatelům zpracovávaným ve stejném proudu mezi frontendem a backendem.
- Do modulu mod_cgi byl přidán parametr CGIScriptTimeout pro nastavení časového limitu vykonávání skriptu.
- V mod_xml2enc byla zajištěna kompatibilita s libxml2 2.12.0 a novějšími verzemi.
- V mod_ssl pro sestavení seznamů názvů certifikačních autorit při zpracování direktiv SSLCACertificatePath a SSLCADNRequestPath se využívají standardní funkce OpenSSL.
- V mod_xml2enc je zajištěno zpracování XML pro všechny MIME typy text/* a XML, aby se předešlo poškození dat ve formátech Microsoft OOXML.
- V utilitě htcacheclean se při zadání voleb -a/-A provádí procházení všech souborů pro každý podadresář.
- V mod_ssl v direktivách SSLProxyMachineCertificateFile/Path je povoleno odkazovat na soubory obsahující certifikáty certifikačních autorit.
- V dokumentaci k utilitám htpasswd, htdbm a dbmmanage je upřesněno, že v nich se používá hashing, nikoli šifrování hesel.
- V htpasswd byla přidána podpora pro zpracování hashů hesel pomocí algoritmu SHA-2.
- V mod_env je povoleno přepisování systémových proměnných prostředí.
- V mod_ldap bylo implementováno escapování HTML dat v hlavičce ldap-status.
- V mod_ssl byla zlepšena kompatibilita s OpenSSL 3 a zajištěno uvolnění paměti pro systém.
- V mod_proxy je povoleno nastavení TTL pro konfiguraci doby života zápisu v cache DNS odpovědí.
- V mod_proxy byl do parametru ProxyRemote přidán třetí argument, který umožňuje nastavit předávané na externí proxy autentizační údaje pro Basic autentizaci.
Zdroj: opennet.ru
