Veröffentlichung des HTTP-Servers lighttpd 1.4.54 mit aktivierter URL-Normalisierung

Veröffentlicht Release des schlanken HTTP-Servers lighttpd 1.4.54. In der neuen Version gibt es 149 Änderungen, darunter die standardmäßige Aktivierung der URL-Normalisierung, eine Überarbeitung von mod_webdav und Optimierungsarbeiten zur Leistungssteigerung.

Mit lighttpd 1.4.54 geändert Serververhalten in Verbindung mit der Normalisierung von URLs bei der Verarbeitung von HTTP-Anfragen. Optionen für eine strikte Überprüfung der Werte im Host-Header wurden aktiviert, ebenso wie die Normalisierung der in den Headern übermittelten Links und die Blockierung von Links mit nicht maskierten Steuerzeichen. Im Normalisierungsprozess ist auch die automatische Umwandlung von ‘\’ in ‘/’, ‘’ in ‘/’, ‘’ in ‘+’, das Auflösen und Entfernen von Teilen von Dateipfaden mit den Verzeichnissen ‘.’ und ‘..’ sowie die Dekodierung von maskierten Zeichen wie ‘-‘, ‘.’, ‘_’ und ‘~’ enthalten.

Das Verhalten der URL-Verarbeitung kann bei Bedarf in den Einstellungen mithilfe der Optionen „header-strict“, „host-strict“, „host-normalize“, „url-normalize“, „url-normalize-unreserved“, „url-normalize-required“,
„url-ctrls-reject“, „url-path-2f-decode“, „url-path-dotseg-remove“ und „url-query-20-plus“ geändert werden, die nun auf „enable“ gesetzt sind.

Unter den weiteren Änderungen fällt die vollständige Überarbeitung des mod_webdav-Moduls auf, die vollständige Kompatibilität mit den Spezifikationen gewährleistet, die Leistung steigert und die Zuverlässigkeit erhöht. Zu den inkompatiblen Änderungen in mod_webdav gehört die Blockierung unvollständiger PUT-Anfragen. In mod_auth wurde die Unterstützung des SHA-256-Algorithmus für die Hashung von Authentifizierungsparametern (HTTP Auth Digest) hinzugefügt.
Anstelle von mod_geoip wurde das neue Modul mod_maxminddb vorgeschlagen (mod_geoip gilt nun als veraltet).

Quelle: opennet.ru