Välja on antud http-serverite Lighttpd 1.4.76 ja Apache httpd 2.4.59

Avaldatud on kergekaalulise http-serveri lighttpd 1.4.76 versioon, mis keskendub kõrgele jõudlusele, turvalisusele, standarditele vastavusele ja kohandamise paindlikkusele. Lighttpd on sobiv kõrge koormusega süsteemide kasutamiseks ning sihilikult minimiseerib mälu- ja CPU-koormust. Projekti kood on kirjutatud C keeles ja levitatakse BSD litsentsi alusel.

Uues versioonis:

• Tagatud on rünnaku "Continuation flood" tuvastamine, mis toimub server HTTP/2 lõpetamata CONTINUATION raamide voogude saatmise teel ilma END_HEADERS lipu seadmiseta. Väidetakse, et see rünnak ei põhjusta lighttpd-le teenuse kättesaamatust, kuid täiendava meetmena on rakendatud selle tuvastamine ja vastuse GO_AWAY saatmine.
• Arvestatud on xz paketi tagasisüsteemi sissetungi juhtumiga. Dependentside koostamisel luuakse nüüd kood Git'ist «git archive» käsuga, verifitseerides versioonitagsid ja laadides alla valmistoote arhiive koodiga.
• Vaikimisi on saadaval sisseehitatud fail mimetype.assign.
• Lisatud on MPTCP (MultiPath TCP) toe tugi, mis ei ole vaikimisi aktiveeritud.
• Parandatud on GNU/Hurd ja NetBSD 10 platvormide tuge.
• Vähendatud on süsteemikõnesid, mis tehakse backend-ühenduste korral.
• Järgmistes väljaannetes plaanitakse seada TLSv1.3 vaikimisi minimaalne toetatud protokolliversioon (hetkel on MinProtocol seatud TLSv1.2-le). Tulevikus piiratakse serveri viga-ootamatuse töötlejat 404 vigade töötlemisega (hetkel töötleb see nii 404 kui ka 403 vigu).

Samuti tasub märkida HTTP-serveri Apache 2.4.59 väljaandmist, kus on 21 muudatust ja kolme haavatavuse parandamine:

• CVE-2024-27316 — haavatavus, mis põhjustab vaba mälu ammendumise "Continuation flood" rünnaku korral.
• CVE-2024-24795, CVE-2023-38709 — rünnaku võimalus HTTP vastuste jagamisel frontend-backendi süsteemides, mis võimaldab täiendavate vastusepealkirjade saamist või vastuste jagamist, et tungida teistele kasutajatele edastatavate vastuste sisu, mida töödeldakse samas voos frontend'i ja backend'i vahel.
• Modi mod_cgi on lisatud parameeter CGIScriptTimeout skripti täitmise aja seadmiseks.
• Modi mod_xml2enc tagab ühilduvuse libxml2 2.12.0 ja uuemate väljaannetega.
• Mod_ssl-is on OpenSSLi tavalised funktsioonid nimekirjade koostamiseks, mis kontrollivad sertifitseerimiskeskuse nimesid, kui kasutatakse direktiive SSLCACertificatePath ja SSLCADNRequestPath.
• Mod_xml2enc toetab XMLi töötlemist kõigi text/* MIME-tüüpide ja XMLi jaoks, et vältida andmete kahjustumist Microsoft OOXML-formaatides.
• HTCachecleani utiliidis on valikute -a/-A määramisel rakendatud kõigi failide läbimist igas alamkaustas.
• Mod_ssl-is on direktiivides SSLProxyMachineCertificateFile/Path lubatud viidatud failidele, mis sisaldavad sertifitseerimiskeskuste sertifikaate.
• HTPasswd, Htdbm ja dbmmanage utiliidide dokumentatsioonis on täpsustatud, et nad kasutavad paroolide asemel räsimist, mitte krüpteerimist.
• HTPasswd toetab paroolide räsimise töötlemist SHA-2 algoritmi abil.
• Mod_env-is on lubatud süsteemsete keskkonnamuutujate ülekirjutamine.
• Mod_ldap-is on teostatud HTML-andmete puhastamine ldap-statusi päises.
• Mod_ssl-is on paranenud ühilduvus OpenSSL 3-ga ja tagatud süsteemile vabastatud mälu tagastamine.
• Mod_proxy-s on lubatud TTL-i määramine DNS-vastuste vahemälu kirje eluea seadmiseks.
• Mod_proxy-s on ProxyRemote parameetrisse lisatud kolmanda argumendi tugi, mille abil saab konfigureerida Basic-autentimise jaoks edastatavaid andmeid välisele proksile.

Allikas: opennet.ru