Objavljena je nova verzija laganog http poslužitelja lighttpd 1.4.76, usmjerena na kombinaciju visoke performanse, sigurnosti, usklađenosti sa standardima i fleksibilnosti konfiguracije. Lighttpd je prikladan za primjenu u sustavima s visokim opterećenjem i fokusira se na nisku potrošnju memorije i CPU resursa. Kod projekta napisan je na jeziku C i distribuira se pod BSD licencom.
U novoj verziji:
- Osigurano je otkrivanje napada 'Continuation flood', koji se provodi slanjem na server HTTP/2 neprekidnog toka okvira CONTINUATION bez postavljanja zastavice END_HEADERS. Tvrdnja je da ovaj napad ne uzrokuje neuspjeh lighttpd-a u usluzi, ali kao dodatna mjera dodano je njegovo otkrivanje i slanje odgovora GO_AWAY.
- Uzmimo u obzir incident s uvođenjem backdoora u paket xz. Prilikom izrade izdanja za sklapanje ovisnosti sada se koristi preuzimanje koda iz Gita naredbom 'git archive' s provjerom prema oznakama izdanja bez preuzimanja gotovih arhiva s kodom.
- Zadano je dostupan ugrađeni datoteka mimetype.assign.
- Dodana je podrška za MPTCP (MultiPath TCP) koja nije aktivirana prema zadanim postavkama.
- Poboljšana je podrška za platforme GNU/Hurd i NetBSD 10.
- Smanjen je broj sistemskih poziva izvedenih prilikom povezivanja s backendom.
- U sljedećim izdanjima planira se postaviti TLSv1.3 kao minimalno podržavana po defaultu verzija TLS protokola (trenutno je parametar MinProtocol postavljen na TLSv1.2). U budućnosti će se obrada server.error-handler-404 ograničiti samo na obradu grešaka 404 (trenutno obrađuje i 404 i 403 greške).
Također se može spomenuti izdanje HTTP poslužitelja Apache 2.4.59, u kojem je predstavljeno 21 promjena i tri ranjivosti su ispravljene:
- CVE-2024-27316 — ranjivost koja može dovesti do iscrpljivanja slobodne memorije tijekom napada 'Continuation flood'.
- CVE-2024-24795, CVE-2023-38709 — mogućnost izvršenja napada putem razdvajanja HTTP odgovora na front-end-backend sustavima, koja omogućava umetanje dodatnih zaglavlja odgovora ili razdvajanje odgovora kako bi se uklizalo u sadržaj odgovora drugih korisnika koji se obrađuju u istom toku između front-enda i backenda.
- U modul mod_cgi dodan je parametar CGIScriptTimeout za postavljanje tajmauta za izvršavanje skripti.
- U mod_xml2enc osigurana je kompatibilnost s libxml2 2.12.0 i novijim izdanjima.
- U mod_ssl za sastavljanje popisa imena certifikacijskih tijela prilikom obrade direktiva SSLCACertificatePath i SSLCADNRequestPath koriste se standardne funkcije OpenSSL.
- U mod_xml2enc osigurana je obrada XML-a za sve MIME-tipove text/* i XML kako bi se spriječilo oštećenje podataka u formatima Microsoft OOXML.
- U alatu htcacheclean prilikom navođenja opcija -a/-A implementirano je pretraživanje svih datoteka za svaki poddirektorij.
- U mod_ssl u direktivama SSLProxyMachineCertificateFile/Path dopušteno je referenciranje datoteka koje sadrže certifikate certifikacijskih tijela.
- U dokumentaciji za alate htpasswd, htdbm i dbmmanage pojašnjeno je da se u njima koristi heširanje, a ne šifriranje lozinki.
- U htpasswd dodana je podrška za obradu heševa lozinki koristeći algoritam SHA-2.
- U mod_env dopušteno je prepisivanje sistemskih varijabli okruženja.
- U mod_ldap implementirano je eskapiranje HTML-podataka u zaglavlju ldap-status.
- U mod_ssl poboljšana je kompatibilnost s OpenSSL 3 i osigurano je vraćanje oslobođene memorije sustavu.
- U mod_proxy dopušteno je postavljanje TTL-a za konfiguraciju vremena trajanja zapisa u predmemoriji DNS-odgovora.
- U mod_proxy dodana je podrška trećem argumentu u parametru ProxyRemote, kojim se mogu postaviti podatci za prijenos na vanjski proxy za Basic autentifikaciju.
Izvor: opennet.ru
