Die Veröffentlichung von lighttpd 1.4.76, einem leichten HTTP-Server, wurde bekannt gegeben. Er konzentriert sich auf hohe Leistung, Sicherheit, Konformität mit Standards und Flexibilität in der Konfiguration. Lighttpd eignet sich für den Einsatz in stark belasteten Systemen und zielt auf einen niedrigen Speicher- und CPU-Verbrauch ab. Der Projektcode ist in C geschrieben und unter der BSD-Lizenz verfügbar.
In der neuen Version:
- Es wurde die Erkennung des Angriffs „Continuation flood“ sichergestellt, der durch das Senden von der Server HTTP/2 eines kontinuierlichen Streams von CONTINUATION-Frames ohne Setzen des END_HEADERS-Flags durchgeführt wird. Es wird behauptet, dass dieser Angriff lighttpd nicht zum Absturz bringt, aber als zusätzliche Maßnahme wurde dessen Erkennung implementiert und eine GO_AWAY-Antwort gesendet.
- Der Vorfall mit der Einführung eines Backdoors in das Paket xz wurde berücksichtigt. Bei der Erstellung von Releases für Abhängigkeitssammlungen wird jetzt der Code mit dem Git-Befehl „git archive“ unter Verwendung von Release-Tags verifiziert, ohne dass vorgefertigte Archive heruntergeladen werden.
- Standardmäßig ist die eingebaute Datei mimetype.assign verfügbar.
- Die Unterstützung für die MPTCP (MultiPath TCP) Erweiterung wurde hinzugefügt, diese ist standardmäßig jedoch nicht aktiviert.
- Die Unterstützung für die GNU/Hurd- und NetBSD 10-Plattformen wurde verbessert.
- Die Anzahl der Systemaufrufe, die bei Verbindungen zum Backend erfolgen, wurde reduziert.
- In den kommenden Versionen wird TLSv1.3 als minimales standardmäßig unterstütztes Protokoll eingeführt (derzeit ist der Parameter MinProtocol auf TLSv1.2 eingestellt). Zukünftig wird der Handler server.error-handler-404 ausschließlich für die Verarbeitung von 404-Fehlern zuständig sein (derzeit werden sowohl 404 als auch 403 verarbeitet).
Außerdem kann die Veröffentlichung des HTTP-Servers Apache 2.4.59 hervorgehoben werden, die 21 Änderungen enthält und drei Schwachstellen beseitigt:
- CVE-2024-27316 — eine Schwachstelle, die zu einem Speicherüberlauf bei einem Angriff durch „Continuation Flood“ führt.
- CVE-2024-24795, CVE-2023-38709 — eine Möglichkeit, Angriffe durch die Trennung von HTTP-Antworten in Frontend-Backend-Systemen durchzuführen, die es ermöglichen, zusätzliche Antwortheader einzuschleusen oder Antworten zu spalten, um in die Inhalte von Antworten anderer Benutzer, die im selben Thread zwischen Frontend und Backend verarbeitet werden, einzudringen.
- Im Modul mod_cgi wurde der Parameter CGIScriptTimeout hinzugefügt, um eine Timeout-Einstellung für die Skriptausführung vorzunehmen.
- In mod_xml2enc wurde die Kompatibilität mit libxml2 2.12.0 und neueren Versionen sichergestellt.
- In mod_ssl werden die Standardfunktionen von OpenSSL zur Zusammenstellung von Zertifizierungsstellen-Listen für die Direktiven SSLCACertificatePath und SSLCADNRequestPath verwendet.
- In mod_xml2enc wird XML für beliebige MIME-Typen text/* und XML verarbeitet, um Datenbeschädigungen in Microsoft OOXML-Formaten zu vermeiden.
- In dem Werkzeug htcacheclean wird bei Angabe der Optionen -a/-A die Durchsuchung aller Dateien in jedem Unterverzeichnis realisiert.
- In mod_ssl ist es in den Direktiven SSLProxyMachineCertificateFile/Path möglich, auf Dateien zu verweisen, die Zertifikate von Zertifizierungsstellen enthalten.
- In der Dokumentation zu den Werkzeugen htpasswd, htdbm und dbmmanage wurde klargestellt, dass hierin Hashing und nicht Verschlüsselung von Passwörtern verwendet wird.
- In htpasswd wurde die Unterstützung für die Verarbeitung von Passwort-Hashes mit dem Algorithmus SHA-2 hinzugefügt.
- In mod_env ist die Überschreibung von System-Umgebungsvariablen zulässig.
- In mod_ldap wurde das Escaping von HTML-Daten im Header ldap-status umgesetzt.
- In mod_ssl wurde die Kompatibilität mit OpenSSL 3 verbessert und die Rückgabe freigegebener Speicher an das System sichergestellt.
- In mod_proxy ist es möglich, TTL zur Konfiguration der Lebensdauer von Einträgen im Cache von DNS-Antworten festzulegen.
- Im mod_proxy wurde der Parameter ProxyRemote um die Unterstützung eines dritten Arguments erweitert, über das die zur Basic-Authentifizierung übermittelten Anmeldedaten für den externen Proxy konfiguriert werden können.
Quelle: opennet.ru
