Avaldatud on kerge http-serveri lighttpd 1.4.76 väljalase, mis keskendub suure jõudluse, turvalisuse, standarditele vastavuse ja konfiguratsiooni paindlikkuse kombinatsioonile. Lighttpd sobib kasutamiseks suure koormusega süsteemides ning on suunatud vähesele mälu- ja protsessorikulule. Projekti kood on kirjutatud C-keeles ja seda levitatakse BSD litsentsi all.
Uues versioonis:
- „Jätkuva üleujutuse” rünnak, mis viiakse läbi pideva CONTINUATION-kaadrite voo saatmisega HTTP/2 serverisse ilma lipu END_HEADERS määramata. Väidetakse, et see rünnak ei too kaasa lighttpd teenuse keelamist, kuid lisameetmena lisatakse see selle tuvastamiseks ja GO_AWAY vastuse saatmiseks.
- Arvesse on võetud intsidenti, mis hõlmas tagaukse lisamist xz-paketti. Sõltuvuste kokkupanemiseks väljaannete loomisel hangitakse kood nüüd Gitist, kasutades käsku “git archive” koos verifitseerimisega väljalaskemärgendite abil ja ilma valmisarhiive koos koodiga alla laadimata.
- Vaikimisi pakutakse sisseehitatud faili mimetype.assign.
- Lisatud on MPTCP (MultiPath TCP) laienduse tugi, mis pole vaikimisi lubatud.
- Täiustatud tugi GNU/Hurd ja NetBSD 10 platvormidele.
- Taustaprogrammiga ühenduse loomisel tehtavate süsteemikõnede arv on vähenenud.
- Tulevastes väljaannetes on plaanis määrata TLS-protokolli vaikimisi minimaalselt toetatud versiooniks TLSv1.3 (praegu on MinProtocol parameetriks TLSv1.2). Tulevikus piirdub töötleja server.error-handler-404 ainult 404 vigade käsitlemisega (praegu käsitleb see nii 404 kui ka 403).
Samuti võite märkida Apache HTTP-serveri versiooni 2.4.59 väljalaskmist, mis tõi sisse 21 muudatust ja parandas kolm haavatavust:
- CVE-2024-27316 on haavatavus, mis viib vaba mälu ammendumiseni "Continuation flood" rünnaku ajal.
- CVE-2024-24795, CVE-2023-38709 – võimalus läbi viia HTTP-vastuse jagamise rünnak esiotsa-tagaotsa süsteemides, mis võimaldab asendada täiendavaid vastuse päiseid või jagada vastuseid, et sisu kiiluda vastuseid teistele kasutajatele, mida töödeldakse samas lõimes esi- ja taustaprogrammi vahel.
- Skripti täitmise ajalõpu määramiseks on mod_cgi moodulile lisatud parameeter CGIScriptTimeout.
- mod_xml2enc pakub ühilduvust libxml2 2.12.0 ja uuemate väljalasetega.
- Funktsioonis mod_ssl kasutatakse SSLCACertificatePath ja SSLCADNRequestPath direktiivide töötlemisel sertifitseerimisasutuste nimede loendite koostamiseks standardseid OpenSSL-i funktsioone.
- mod_xml2enc pakub XML-i töötlemist mis tahes teksti/* ja XML-i MIME tüüpidele, et vältida Microsoft OOXML-vormingus andmete rikkumist.
- Utiliidis htcacheclean on suvandite -a/-A määramisel võimalik loetleda iga alamkataloogi kõik failid.
- Mod_ssl-s võimaldavad SSLProxyMachineCertificateFile/Path direktiivid viidata sertifitseerimisasutuse sertifikaate sisaldavatele failidele.
- Utiliitide htpasswd, htdbm ja dbmmanage dokumentatsioon selgitab, et nad kasutavad räsimist, mitte paroolikrüptimist.
- htpasswd on lisanud toe parooliräsi töötlemiseks SHA-2 algoritmi abil.
- Mod_env võimaldab süsteemi keskkonnamuutujaid alistada.
- mod_ldap rakendab HTML-i põgenemise päises ldap-status.
- mod_ssl parandab ühilduvust OpenSSL 3-ga ja tagab, et vabastatud mälu tagastatakse süsteemi.
- mod_proxy võimaldab seadistada TTL-i, et konfigureerida DNS-i vastuse vahemälus oleva kirje eluiga.
- Funktsioonis mod_proxy on ProxyRemote parameetrile lisatud kolmanda argumendi tugi, mille kaudu saate konfigureerida välisele puhverserverile edastatava põhiautentimise mandaadid.
Allikas: opennet.ru