מהדורת שרת Lighttpd http 1.4.64

שרת ה-http קל משקל lighttpd 1.4.64 שוחרר. הגרסה החדשה מציגה 95 שינויים, כולל שינויים שתוכננו בעבר לערכי ברירת המחדל וניקוי של פונקציונליות מיושנת:

• פסק הזמן המוגדר כברירת מחדל עבור פעולות אתחול/כיבוי חינניות הצטמצם מאינסוף ל-8 שניות. ניתן להגדיר את הזמן הקצוב באמצעות האפשרות "server.graceful-shutdown-timeout".
• המעבר לשימוש ב-assembly עם ספריית PCRE2 (--with-pcre2) בוצע; כדי לחזור לגרסה הישנה של PCRE, ניתן להשתמש באפשרות "--with-pcre".
• מודולים שהוצאו משימוש בעבר הוסרו:
  • mod_geoip (עליך להשתמש ב-mod_maxminddb),
  • mod_authn_mysql (עליך להשתמש ב-mod_authn_dbi),
  • mod_mysql_vhost (עליך להשתמש ב-mod_vhostdb_dbi),
  • mod_cml (עליך להשתמש ב-mod_magnet),
  • mod_flv_streaming (איבדה משמעות לאחר שפג תוקפו של Adobe Flash),
  • mod_trigger_b4_dl (עליך להשתמש בתחליף עבור Lua).

Lighttpd 1.4.64 מתקן גם פגיעות (CVE-2022-22707) במודול mod_extforward הגורמת לגלישה של מאגר של 4 בתים בעת עיבוד נתונים ב-Forwarded HTTP header. לדברי המפתחים, הבעיה מוגבלת למניעת שירות ומאפשרת ליזום מרחוק סיום חריג של תהליך רקע. ניצול אפשרי רק כאשר המטפל בכותרת המועברת מופעל ואינו מופיע בתצורת ברירת המחדל.

מקור: OpenNet.ru