È stato pubblicato il rilascio del server http leggero lighttpd 1.4.76, progettato per combinare alte prestazioni, sicurezza, conformità agli standard e flessibilità di configurazione. Lighttpd è adatto per applicazioni su sistemi ad alto carico e mira a un basso consumo di memoria e risorse CPU. Il codice del progetto è scritto in C e distribuito sotto licenza BSD.
Nella nuova versione:
- È stata attivata la rilevazione di un attacco di tipo "Continuation flood", realizzato attraverso l'invio a un server HTTP/2 di un flusso continuo di frame CONTINUATION senza impostare il flag END_HEADERS. Si afferma che questo attacco non porta a un'interruzione del servizio di lighttpd, ma è stata aggiunta la sua rilevazione come misura aggiuntiva e l'invio della risposta GO_AWAY.
- È stato registrato un incidente relativo all'inserimento di un backdoor nel pacchetto xz. Nella creazione delle release per la compilazione delle dipendenze, ora si utilizza il codice proveniente da Git tramite il comando "git archive" con verifica dei tag di rilascio e senza caricare archivi pronti con il codice.
- Per impostazione predefinita è fornito un file incorporato mimetype.assign.
- È stato aggiunto il supporto per l'estensione MPTCP (MultiPath TCP), che non è attivata di default.
- Migliorato il supporto per le piattaforme GNU/Hurd e NetBSD 10.
- Ridotto il numero di chiamate di sistema effettuate durante le connessioni al backend.
- Nei prossimi rilasci si prevede di impostare TLSv1.3 come versione minima supportata di default del protocollo TLS (ora il parametro MinProtocol è impostato su TLSv1.2). In futuro, il gestore server.error-handler-404 sarà limitato al solo trattamento degli errori 404 (attualmente gestisce sia 404 che 403).
Si segnala anche il rilascio del server HTTP Apache 2.4.59, che presenta 21 modifiche e risolve tre vulnerabilità:
- CVE-2024-27316 — vulnerabilità che porta all'esaurimento della memoria disponibile durante un attacco di tipo "Continuation flood".
- CVE-2024-24795, CVE-2023-38709 — possibilità di effettuare un attacco tramite la suddivisione delle risposte HTTP sui sistemi frontend-backend, consentendo l'inserimento di intestazioni aggiuntive nella risposta o la scissione delle risposte per infiltrarsi nel contenuto delle risposte di altri utenti, elaborate nello stesso flusso tra frontend e backend.
- Nel modulo mod_cgi è stato aggiunto il parametro CGIScriptTimeout per impostare il timeout di esecuzione dello script.
- Nel mod_xml2enc è stata garantita la compatibilità con libxml2 2.12.0 e versioni successive.
- Nel mod_ssl per la composizione delle liste di nomi delle autorità di certificazione durante la gestione delle direttive SSLCACertificatePath e SSLCADNRequestPath sono state utilizzate le funzioni predefinite di OpenSSL.
- Nel mod_xml2enc è stata garantita l'elaborazione XML per qualsiasi tipo MIME text/* e XML per escludere danneggiamenti nei formati Microsoft OOXML.
- Nell'utility htcacheclean, quando si utilizzano le opzioni -a/-A, è stata implementata una scansione di tutti i file per ogni sottocartella.
- Nel mod_ssl, nelle direttive SSLProxyMachineCertificateFile/Path, è consentito fare riferimento a file contenenti certificati delle autorità di certificazione.
- Nella documentazione delle utility htpasswd, htdbm e dbmmanage è stato chiarito che in esse viene utilizzato l'hashing e non la crittografia delle password.
- In htpasswd è stato aggiunto il supporto per l'elaborazione degli hash delle password utilizzando l'algoritmo SHA-2.
- Nel mod_env è stata consentita la sovrascrittura delle variabili ambientali di sistema.
- Nel mod_ldap è stato implementato l'escaping dei dati HTML nell'intestazione ldap-status.
- Nel mod_ssl è stata migliorata la compatibilità con OpenSSL 3 e garantito il ritorno della memoria liberata al sistema.
- Nel mod_proxy è stata consentita l'impostazione del TTL per configurare il tempo di vita delle voci nella cache delle risposte DNS.
- Nel mod_proxy, nel parametro ProxyRemote, è stato aggiunto il supporto per un terzo argomento, tramite il quale è possibile configurare le credenziali per l'autenticazione Basic da inviare al proxy esterno.
Fonte: opennet.ru
