Udgivet er version 1.4.76 af den letvægts HTTP-server lighttpd, designet til at kombinere høj ydeevne, sikkerhed, overholdelse af standarder og konfigurationsfleksibilitet. Lighttpd er velegnet til brug i systemer med høj belastning og fokuserer på lavt hukommelses- og CPU-forbrug. Projektets kode er skrevet i C og distribueres under BSD-licensen.
I den nye version:
- Der er leveret identificering af angreb i form af 'Continuation flood', gennem afsendelse af server HTTP/2 en vedholdende strøm af CONTINUATION-rammer uden at sætte END_HEADERS-flaget. Det påstås, at dette angreb ikke fører til nedbrud af lighttpd, men som en ekstra foranstaltning er det tilføjet at identificere det og sende et GO_AWAY-svar.
- Hændelsen med indførelsen af en backdoor i xz-pakken er blevet taget i betragtning. Ved oprettelse af udgivelser til afhængigheder anvendes nu kodehentning fra Git med kommandoen 'git archive' med verifikation af udgivelsestags og uden at downloade færdige arkiver med kode.
- Standardmæssigt leveres der en indbygget fil mimetype.assign.
- Der er tilføjet support til MPTCP (MultiPath TCP), som ikke er aktiveret som standard.
- Understøttelsen af GNU/Hurd og NetBSD 10 er forbedret.
- Antallet af systemopkald, der foretages ved forbindelser til backend, er reducert.
- I kommende udgivelser planlægges det at sætte TLSv1.3 som den minimalt understøttede standardversion af TLS-protokollen (i øjeblikket er parameteren MinProtocol sat til TLSv1.2). I fremtiden vil server.error-handler-404 udelukkende blive begrænset til behandling af 404-fejl (i øjeblikket håndteres både 404 og 403).
Det kan også nævnes, at HTTP-serveren Apache 2.4.59 er blevet udgivet, som indeholder 21 ændringer og har rettet tre sårbarheder:
- CVE-2024-27316 — en sårbarhed, der fører til udtømning af ledig hukommelse ved udførelse af 'Continuation flood'-angreb.
- CVE-2024-24795, CVE-2023-38709 — muligheden for at udføre angreb ved opdeling af HTTP-svar på frontend-backend-systemer, hvilket muliggør udskiftning af yderligere svaroverskrifter eller opdeling af svar for at infiltrere indholdet af svar til andre brugere, der behandles i den samme strøm mellem frontend og backend.
- Indstillingerne CGIScriptTimeout er blevet tilføjet til mod_cgi-modulet for at indstille timeout for scriptudførelse.
- I mod_xml2enc er der sikret kompatibilitet med libxml2 2.12.0 og nyere udgivelser.
- I mod_ssl er der anvendt standardfunktioner fra OpenSSL til at samle lister over certifikatmyndigheder ved behandling af direktiverne SSLCACertificatePath og SSLCADNRequestPath.
- I mod_xml2enc er der tilføjet XML-behandling for alle MIME-typer text/* og XML for at undgå datakorruption i Microsoft OOXML-formater.
- I værktøjet htcacheclean muliggør angivelse af indstillingerne -a/-A gennemgang af alle filer for hver undermappe.
- I mod_ssl er det muligt at referere til filer, der indeholder certifikater fra certifikatmyndigheder, i direktiverne SSLProxyMachineCertificateFile/Path.
- I dokumentationen til værktøjerne htpasswd, htdbm og dbmmanage er det præciseret, at de bruger hashing og ikke kryptering af adgangskoder.
- I htpasswd er der tilføjet støtte til behandling af adgangskodehashing ved hjælp af SHA-2-algoritmen.
- I mod_env er det muligt at overskrive systemvariabler.
- I mod_ldap er der implementeret eskapering af HTML-data i headeren ldap-status.
- I mod_ssl er kompatibiliteten med OpenSSL 3 forbedret, og der er sikret, at systemet frigiver hukommelse korrekt.
- I mod_proxy er det muligt at indstille TTL for konfiguration af levetiden for DNS-cache-svar.
- I mod_proxy er der tilføjet støtte til en tredje parameter i ProxyRemote, som gør det muligt at konfigurere legitimationsoplysninger til Basic-godkendelse overført til en ekstern proxy.
Kilde: opennet.ru
