Megjelent a lighttpd 1.4.76 verzió, amely egy könnyűsúlyú HTTP-szerver, a magas teljesítmény, biztonság, szabványoknak való megfelelés és a testreszabhatóság ötvözésére összpontosít. A lighttpd alkalmas nagy terhelésű rendszerekhez, és alacsony memória- és CPU-felhasználásra van optimalizálva. A projekt kódja C nyelven készült, és BSD licenc alatt terjesztik.
Az új verzióban:
- Az "Continuation flood" támadások azonosítása biztosított, amelyek HTTP/2 folytatólagos keretek folyamatos áramlásának küldésével valósulnak meg a END_HEADERS címke beállítása nélkül. szerver Állítják, hogy ez a támadás nem okoz szolgáltatásmegtagadást a lighttpd esetében, de kiegészítő intézkedésként hozzáadták annak azonosítását és a GO_AWAY válasz küldését.
- Figyelembe vették a xz csomagba való hátsó ajtó beépítésével kapcsolatos eseményt. A függőségek számára készült kiadások létrehozásakor mostantól a kódot a Git "git archive" parancsával érhetjük el, amely a kiadási címkék ellenőrzését végzi, anélkül, hogy kész kódarchívumokat töltene le.
- Alapértelmezés szerint egy beépített mimetype.assign fájl áll rendelkezésre.
- Hozzáadva a MPTCP (MultiPath TCP) kiterjesztés támogatása, amely alapértelmezés szerint nincs aktiválva.
- Javult a GNU/Hurd és a NetBSD 10 platformok támogatása.
- Csökkentettük a backendhez való csatlakozáskor végrehajtott rendszerhívások számát.
- A következő kiadásokban a TLSv1.3 fogja képviselni az alapértelmezett legalacsonyabb támogatott TLS protokoll verziót (jelenleg a MinProtocol értéke TLSv1.2). A jövőben a server.error-handler-404 kezelő kizárólag 404-es hibák kezelésére lesz korlátozva (jelenleg 404- és 403-as hibákat egyaránt kezel).
Megemlíthetjük még az Apache HTTP-szerver 2.4.59 kiadását is, amely 21 módosítást tartalmaz, és három sebezhetőséget javít:
- CVE-2024-27316 — sebezhetőség, amely szabad memória kimerüléséhez vezet "Continuation flood" támadás végrehajtása során.
- CVE-2024-24795, CVE-2023-38709 — lehetőség HTTP válaszok szétválasztására frontend-backend rendszereken, amely lehetővé teszi további válaszfejlécek beillesztését vagy a válaszok felaprózását, hogy más felhasználók tartalmába be tudjanak ékelődni, amelyeket ugyanabban a szálban dolgoznak fel a frontend és a backend között.
- A mod_cgi modulhoz hozzáadva a CGIScriptTimeout paraméter a szkriptek futási idejének időtúllépésének beállításához.
- A mod_xml2enc biztosítja a libxml2 2.12.0 és újabb kiadásokkal való kompatibilitást.
- A mod_ssl a hitelesítő központok neveinek listájának összeállításához az SSLCACertificatePath és SSLCADNRequestPath utasítások feldolgozása során az OpenSSL beépített funkcióit használja.
- A mod_xml2enc lehetővé teszi az XML feldolgozását bármilyen text/* MIME-típushoz és XML-hez, hogy elkerülje az adatok sérülését a Microsoft OOXML formátumokban.
- A htcacheclean eszközben az -a/-A opciók megadásakor minden fájl átvizsgálása megtörténik minden almappához.
- A mod_ssl-ban az SSLProxyMachineCertificateFile/Path utasításoknál engedélyezett, hogy a hitelesítő központok tanúsítványait tartalmazó fájlokra hivatkozzon.
- A htpasswd, htdbm és dbmmanage eszközökhöz készült dokumentációban pontosítva lett, hogy bennük a jelszavak hashelt formában, nem titkosítva vannak tárolva.
- A htpasswd-ban hozzáadva lett a jelszavak hashelésének támogatása SHA-2 algoritmus használatával.
- A mod_env-ban engedélyezett a rendszer környezeti változóinak felülírása.
- A mod_ldap-ban megvalósították a HTML-adatok escape-elését az ldap-status fejlécben.
- A mod_ssl-ban javították a kompatibilitást az OpenSSL 3-hoz, és biztosították a rendszer memóriájának felszabadulását.
- A mod_proxy-ban lehetővé tették a TTL beállítását a DNS-válaszok cache-bejegyzéseinek élettartamának konfigurálásához.
- A mod_proxy-ban a ProxyRemote paraméterhez hozzáadták a harmadik argumentum támogatását, amellyel a külső proxy számára átadandó hitelesítési adatokat beállíthatjuk Basic-authentikációhoz.
Forrás: opennet.ru
