Lighttpd 1.4.76 და Apache httpd 2.4.59 http სერვერების გამოშვება

გამოქვეყნდა მსუბუქი http სერვერის lighttpd 1.4.76 გამოშვება, რომელიც ორიენტირებულია მაღალი შესრულების, უსაფრთხოების, სტანდარტებთან შესაბამისობისა და კონფიგურაციის მოქნილობის კომბინაციაზე. Lighttpd შესაფერისია მაღალ დატვირთულ სისტემებზე გამოსაყენებლად და მიზნად ისახავს მეხსიერების და პროცესორის დაბალ მოხმარებას. პროექტის კოდი დაწერილია C-ში და ნაწილდება BSD ლიცენზიით.

ახალ ვერსიაში:

• უზრუნველყოფილია „გაგრძელებული წყალდიდობის“ გამოვლენა, რომელიც განხორციელდა CONTINUATION კადრების უწყვეტი ნაკადის გაგზავნით HTTP/2 სერვერზე END_HEADERS დროშის დაყენების გარეშე. ნათქვამია, რომ ეს თავდასხმა არ იწვევს lighttpd-ზე სერვისის უარყოფას, მაგრამ დამატებით ზომად ის ემატება მის აღმოსაჩენად და GO_AWAY პასუხის გასაგზავნად.
• ინციდენტი, რომელიც დაკავშირებულია xz პაკეტში backdoor-ის დანერგვით, მხედველობაში იქნა მიღებული. დამოკიდებულებების შეკრების გამოშვებების შექმნისას, კოდი ახლა ამოღებულია Git-დან „git archive“ ბრძანების გამოყენებით დამოწმებით გამოშვების ტეგების გამოყენებით და მზა არქივების კოდით ჩამოტვირთვის გარეშე.
• ნაგულისხმევად, მოწოდებულია ჩაშენებული mimetype.assign ფაილი.
• დამატებულია MPTCP (MultiPath TCP) გაფართოების მხარდაჭერა, რომელიც ნაგულისხმევად არ არის ჩართული.
• GNU/Hurd და NetBSD 10 პლატფორმების გაუმჯობესებული მხარდაჭერა.
• შემცირდა სისტემური ზარების რაოდენობა, რომლებიც განხორციელდა backend-თან დაკავშირებისას.
• მომავალ გამოშვებებში, დაგეგმილია TLSv1.3-ის დაყენება, როგორც TLS პროტოკოლის ნაგულისხმევი მინიმალური მხარდაჭერილი ვერსია (ამჟამად MinProtocol პარამეტრი დაყენებულია TLSv1.2-ზე). მომავალში server.error-handler-404 დამმუშავებელი შემოიფარგლება მხოლოდ 404 შეცდომით (ამჟამად ის ამუშავებს როგორც 404-ს, ასევე 403-ს).

თქვენ ასევე შეგიძლიათ გაითვალისწინოთ Apache HTTP სერვერის 2.4.59 გამოშვება, რომელმაც შემოიღო 21 ცვლილება და დააფიქსირა სამი დაუცველობა:

• CVE-2024-27316 არის დაუცველობა, რომელიც იწვევს თავისუფალი მეხსიერების ამოწურვას „გაგრძელებული წყალდიდობის“ შეტევის დროს.
• CVE-2024-24795, CVE-2023-38709 - HTTP პასუხის გაყოფის შეტევის განხორციელების შესაძლებლობა წინა ბოლო-ბოლო სისტემებზე, რაც საშუალებას იძლევა ჩაანაცვლოს დამატებითი პასუხის სათაურები ან პასუხების გაყოფა, რათა მოხდეს პასუხების შინაარსი. სხვა მომხმარებლებს, რომლებიც დამუშავებულია იმავე ძაფში წინა და უკანა ნაწილს შორის.
• CGIScriptTimeout პარამეტრი დაემატა mod_cgi მოდულს სკრიპტის შესრულების ვადის დასაყენებლად.
• mod_xml2enc უზრუნველყოფს თავსებადობას libxml2 2.12.0 და შემდეგ გამოშვებებთან.
• mod_ssl-ში, სტანდარტული OpenSSL ფუნქციები გამოიყენება სერტიფიცირების ორგანოების სახელების სიების ასაწყობად SSLCACertificatePath და SSLCADNRequestPath დირექტივების დამუშავებისას.
• mod_xml2enc უზრუნველყოფს XML დამუშავებას ნებისმიერი ტექსტისთვის/* და XML MIME ტიპისთვის, რათა თავიდან აიცილოს მონაცემთა კორუფცია Microsoft OOXML ფორმატებში.
• htcacheclean უტილიტაში, -a/-A ოფციების მითითებისას, შესაძლებელია ყველა ფაილის ჩამოთვლა თითოეული ქვედირექტორიისთვის.
• mod_ssl-ში, SSLProxyMachineCertificateFile/Path დირექტივები იძლევა მითითებას სასერტიფიკაციო ორგანოს სერტიფიკატების შემცველ ფაილებზე.
• htpasswd, htdbm და dbmmanage უტილიტების დოკუმენტაცია განმარტავს, რომ ისინი იყენებენ ჰეშინგს და არა პაროლის დაშიფვრას.
• htpasswd-მ დაამატა მხარდაჭერა პაროლის ჰეშების დამუშავებისთვის SHA-2 ალგორითმის გამოყენებით.
• Mod_env იძლევა სისტემის გარემოს ცვლადების გადაფარვას.
• mod_ldap ახორციელებს HTML გაქცევას ldap-status სათაურში.
• mod_ssl აუმჯობესებს OpenSSL 3-თან თავსებადობას და უზრუნველყოფს გამოთავისუფლებული მეხსიერების დაბრუნებას სისტემაში.
• mod_proxy საშუალებას გაძლევთ დააყენოთ TTL, რათა დააკონფიგურიროთ ჩანაწერის სიცოცხლის ხანგრძლივობა DNS საპასუხო ქეშში.
• mod_proxy-ში, ProxyRemote პარამეტრს დაემატა მესამე არგუმენტის მხარდაჭერა, რომლის მეშვეობითაც შეგიძლიათ დააკონფიგურიროთ გარე პროქსისთვის გადაცემული ძირითადი ავტორიზაციის სერთიფიკატები.

წყარო: opennet.ru