軽量 http サーバー lighttpd 1.4.76 のリリースが公開されました。これは、高性能、セキュリティ、標準への準拠、構成の柔軟性の組み合わせに重点を置いています。 Lighttpd は高負荷のシステムでの使用に適しており、メモリと CPU の消費量を抑えることを目的としています。プロジェクト コードは C で書かれており、BSD ライセンスに基づいて配布されます。
収録曲:
- END_HEADERS フラグを設定せずに CONTINUATION フレームの連続ストリームを HTTP/2 サーバーに送信することによって実行される「継続フラッド」攻撃の検出が提供されます。この攻撃は lighttpd へのサービス妨害を引き起こすものではないとされていますが、追加の対策として、これを検出して GO_AWAY 応答を送信する機能が追加されています。
- xz パッケージへのバックドアの導入に関する事件が考慮されました。依存関係を組み立てるためのリリースを作成する場合、コードが含まれる既製のアーカイブをダウンロードすることなく、リリース タグを使用した検証とともに「git archive」コマンドを使用してコードが Git から取得されるようになりました。
- デフォルトでは、組み込みの mimetype.assign ファイルが提供されます。
- MPTCP (MultiPath TCP) 拡張機能のサポートが追加されました。これはデフォルトでは有効になっていません。
- GNU/Hurd および NetBSD 10 プラットフォームのサポートが向上しました。
- バックエンドへの接続時に実行されるシステムコールの数が減少しました。
- 将来のリリースでは、TLSv1.3 が TLS プロトコルのデフォルトの最小サポート バージョンとして設定される予定です (現在、MinProtocol パラメーターは TLSv1.2 に設定されています)。将来的には、server.error-handler-404 ハンドラーは 404 エラーの処理のみに制限される予定です (現在は 404 と 403 の両方を処理します)。
Apache HTTP サーバー 2.4.59 のリリースにも注目してください。これにより、21 の変更が導入され、XNUMX つの脆弱性が修正されました。
- CVE-2024-27316 は、「継続フラッド」攻撃中に空きメモリの枯渇につながる脆弱性です。
- CVE-2024-24795、CVE-2023-38709 - フロントエンドとバックエンドのシステムに対して HTTP 応答分割攻撃を実行する可能性があり、コンテンツをウェッジするために追加の応答ヘッダーの置換や応答の分割が可能になります。フロントエンドとバックエンドの間の同じスレッドで処理される他のユーザーへの応答の数。
- スクリプトの実行タイムアウトを設定するために、CGIScriptTimeout パラメーターが mod_cgi モジュールに追加されました。
- mod_xml2enc は、libxml2 2.12.0 以降のリリースとの互換性を提供します。
- mod_ssl では、SSLCACertificatePath および SSLCADNRequestPath ディレクティブを処理するときに、標準の OpenSSL 関数を使用して認証局名のリストが作成されます。
- mod_xml2enc は、任意の text/* および XML MIME タイプに対して XML 処理を提供し、Microsoft OOXML 形式でのデータ破損を防ぎます。
- htcacheclean ユーティリティでは、-a/-A オプションを指定すると、サブディレクトリごとにすべてのファイルを列挙できます。
- mod_ssl では、SSLProxyMachineCertificateFile/Path ディレクティブにより、証明機関の証明書を含むファイルへの参照が可能になります。
- htpasswd、htdbm、および dbmmanage ユーティリティのドキュメントでは、パスワード暗号化ではなくハッシュを使用することが明確にされています。
- htpasswd は、SHA-2 アルゴリズムを使用したパスワード ハッシュの処理のサポートを追加しました。
- Mod_env を使用すると、システム環境変数をオーバーライドできます。
- mod_ldap は、ldap-status ヘッダーに HTML エスケープを実装します。
- mod_ssl は OpenSSL 3 との互換性を向上させ、解放されたメモリがシステムに確実に返されるようにします。
- mod_proxy を使用すると、TTL を設定して DNS 応答キャッシュ内のエントリの有効期間を構成できます。
- mod_proxy では、ProxyRemote パラメーターに 3 番目の引数のサポートが追加されました。これを使用して、外部プロキシに送信される基本認証の資格情報を構成できます。
出所： オープンネット.ru