Жеңил http серверинин lighttpd 1.4.76 релизинин чыгарылышы жогорку өндүрүмдүүлүктүн, коопсуздуктун, стандарттарга шайкештиктин жана конфигурациянын ийкемдүүлүгүнүн айкалышына багытталган. Lighttpd өтө жүктөлгөн системаларда колдонууга ылайыктуу жана аз эстутум менен CPU керектөөсүнө багытталган. Долбоордун коду C тилинде жазылган жана BSD лицензиясы боюнча таратылат.
Жаңы версияда:
- END_HEADERS желекчесин койбостон, HTTP/2 серверине УЛАНТУУ кадрларынын үзгүлтүксүз агымын жөнөтүү аркылуу ишке ашырылган "Улантуу сел" чабуулун аныктоо камсыздалган. Бул чабуул lighttpd кызматын көрсөтүүдөн баш тартууга алып келбейт деп айтылат, бирок кошумча чара катары аны аныктоо жана GO_AWAY жообун жөнөтүү үчүн кошулат.
- xz пакетине бэкдорду киргизүү менен байланышкан окуя эске алынган. Көз карандылыктарды чогултуу үчүн релиздерди түзүп жатканда, код Gitтен "git archive" буйругун колдонуп, релиз тегдерин колдонуу менен текшерүү менен жана код менен даяр архивдерди жүктөп албастан чыгарылат.
- Демейки боюнча, орнотулган mimetype.assign файлы берилет.
- Демейки боюнча иштетилбеген MPTCP (MultiPath TCP) кеңейтүүсү үчүн колдоо кошулду.
- GNU/Hurd жана NetBSD 10 платформалары үчүн жакшыртылган колдоо.
- Артка туташуу учурунда системалык чалуулардын саны кыскарды.
- Келечектеги чыгарылыштарда TLSv1.3ти TLS протоколунун демейки минималдуу колдоого алынган версиясы катары коюу пландаштырылууда (учурда MinProtocol параметри TLSv1.2 деп коюлган). Келечекте, server.error-handler-404 иштеткичи 404 катаны иштетүү менен гана чектелет (учурда ал 404 жана 403 экөөнү тең иштетет).
Ошондой эле Apache HTTP серверинин 2.4.59 релизине көңүл бурсаңыз болот, анда 21 өзгөртүү киргизилген жана үч алсыздык аныкталган:
- CVE-2024-27316 "Улантуу суу ташкыны" чабуулу учурунда бош эстутумдун түгөнүп калышына алып келген алсыздык.
- CVE-2024-24795, CVE-2023-38709 - кошумча жооп аталыштарын алмаштырууга же жооптордун мазмунун кынапташтыруу үчүн жоопторду бөлүүгө мүмкүндүк берүүчү фронттук системаларга HTTP жооп бөлүү чабуулун жүргүзүү мүмкүнчүлүгү frontend жана backend ортосунда бир эле жипте иштетилген башка колдонуучуларга.
- CGIScriptTimeout параметри скрипттин аткарылышын күтүү убактысын орнотуу үчүн mod_cgi модулуна кошулду.
- mod_xml2enc libxml2 2.12.0 жана андан кийинки релиздер менен шайкеш келүүнү камсыз кылат.
- mod_sslде стандарттуу OpenSSL функциялары SSLCACertificatePath жана SSLCADNRequestPath директивалары иштетилгенде сертификаттоо органдарынын аталыштарынын тизмесин чогултуу үчүн колдонулат.
- mod_xml2enc Microsoft OOXML форматтарында маалыматтардын бузулушун алдын алуу үчүн ар кандай текст/* жана XML MIME түрлөрү үчүн XML иштетүүнү камсыз кылат.
- Htcacheclean утилитасында -a/-A параметрлерин көрсөтүүдө, ар бир подкаталог үчүн бардык файлдарды санап чыгууга болот.
- mod_sslде, SSLProxyMachineCertificateFile/Path директивалары тастыктоо органынын сертификаттарын камтыган файлдарга шилтеме жасоого мүмкүндүк берет.
- htpasswd, htdbm жана dbmmanage утилиталарынын документтери алар сырсөз шифрлөө эмес, хэшинг колдонорун түшүндүрөт.
- htpasswd SHA-2 алгоритмин колдонуу менен сырсөз хэштерин иштетүү үчүн колдоо кошту.
- Mod_env системанын чөйрө өзгөрмөлөрүн жокко чыгарууга мүмкүндүк берет.
- mod_ldap ldap-статус башындагы HTML качууну ишке ашырат.
- mod_ssl OpenSSL 3 менен шайкештикти жакшыртат жана бошогон эс тутумга кайтарылышын камсыздайт.
- mod_proxy DNS жооп кэшинде жазуунун иштөө мөөнөтүн конфигурациялоо үчүн TTL орнотууга мүмкүндүк берет.
- mod_proxy ичинде ProxyRemote параметрине үчүнчү аргументти колдоо кошулду, ал аркылуу сиз тышкы проксиге өткөрүлүп берилген Негизги аутентификация үчүн эсептик дайындарды конфигурациялай аласыз.
Source: opennet.ru