Objavljen je lagani HTTP server lighttpd 1.4.64. Nova verzija donosi 95 promjena, uključujući primjenu ranije planiranih promjena zadane vrijednosti i čišćenje zastarjele funkcionalnosti:
- Zadani vremenski interval za operacije graceful restart/shutdown smanjen je s vječnosti na 8 sekundi. Vremenski interval može se namjestiti putem opcije "server.graceful-shutdown-timeout".
- Prešlo se na korištenje izgradnje s bibliotekom PCRE2 (—with-pcre2), dok se za povratak na stariju verziju PCRE može koristiti opcija "—with-pcre".
- Uklonjeni su moduli koji su ranije proglašeni zastarjelima:
- mod_geoip (treba koristiti mod_maxminddb),
- mod_authn_mysql (treba koristiti mod_authn_dbi),
- mod_mysql_vhost (treba koristiti mod_vhostdb_dbi),
- mod_cml (treba koristiti mod_magnet),
- mod_flv_streaming (nije više smislen nakon završetka života Adobe Flash),
- mod_trigger_b4_dl (treba koristiti zamjenu na Lua).
U lighttpd 1.4.64 također je otklonjena ranjivost (CVE-2022-22707) u modulu mod_extforward, koja dovodi do preopterećenja bafera od 4 bajta prilikom obrade podataka u HTTP zaglavlju Forwarded. Prema mišljenju programera, problem se ograničava na odbijanje usluge i omogućuje daljinsko pokretanje izvanrednog gašenja pozadinskog procesa. Iskorištavanje je moguće samo uz uključeni obrtnik zaglavlja Forwarded i ne pojavljuje se u zadnjoj konfiguraciji.
Izvor: opennet.ru
