Veröffentlichung des HTTP-Servers lighttpd 1.4.54 mit aktivierter URL-Normalisierung

Veröffentlicht Release des schlanken HTTP-Servers lighttpd 1.4.54. In der neuen Version gibt es 149 Änderungen, darunter die standardmäßige Aktivierung der URL-Normalisierung, eine Überarbeitung von mod_webdav und Optimierungsarbeiten zur Leistungssteigerung.

Mit lighttpd 1.4.54 geändert verändert sich das Serververhalten in Bezug auf die URL-Normalisierung bei der Verarbeitung von HTTP-Anfragen. Die Optionen für die strikte Überprüfung der Werte im Host-Header wurden aktiviert, und es wird eine Normalisierung der in den Headern übermittelten Links sowie das Blockieren von Links mit nicht maskierten Steuerzeichen ermöglicht. Im Rahmen der Normalisierung erfolgt eine automatische Umwandlung von ‘\’ in ‘/’, ‘’ in ‘/’, ‘’ in ‘+’, das Auflösen und Entfernen von Teilen von Dateipfaden mit den Verzeichnissen ‘.’ und ‘..’, sowie das Dekodieren von maskierten Zeichen ‘-’, ‘.’, ‘_’ und ‘~’.

Das Verhalten der URL-Verarbeitung kann bei Bedarf in den Einstellungen mithilfe der Optionen „header-strict“, „host-strict“, „host-normalize“, „url-normalize“, „url-normalize-unreserved“, „url-normalize-required“,
„url-ctrls-reject“, „url-path-2f-decode“, „url-path-dotseg-remove“ und „url-query-20-plus“ geändert werden, die nun auf „enable“ gesetzt sind.

Unter den weiteren Änderungen fällt die vollständige Überarbeitung des mod_webdav-Moduls auf, die vollständige Kompatibilität mit den Spezifikationen gewährleistet, die Leistung steigert und die Zuverlässigkeit erhöht. Zu den inkompatiblen Änderungen in mod_webdav gehört die Blockierung unvollständiger PUT-Anfragen. In mod_auth wurde die Unterstützung des SHA-256-Algorithmus für die Hashung von Authentifizierungsparametern (HTTP Auth Digest) hinzugefügt.
Anstelle von mod_geoip wurde das neue Modul mod_maxminddb vorgeschlagen (mod_geoip gilt nun als veraltet).

Quelle: opennet.ru