Ir izlaistas http serveru Lighttpd 1.4.76 un Apache httpd 2.4.59 versijas

Ir publicēta vieglā HTTP servera lighttpd 1.4.76 izlaišana, kas orientēta uz augstu veiktspēju, drošību, atbilstību standartiem un pielāgošanas elastību. Lighttpd ir piemērots augsti noslogotām sistēmām un mērķēts uz zemu atmiņas un CPU patēriņu. Projekta kods ir uzrakstīts C valodā un izplatīts zem BSD licences.

Jaunajā versijā:

• Ir nodrošināta uzbrukuma "Continuation flood" identificēšana, kas tiek veikta, nosūtot servera HTTP/2 nepārtrauktu CONTINUATION kadru plūsmu bez END_HEADERS flaga uzstādīšanas. Tiek apgalvots, ka šis uzbrukums neizraisa lighttpd pakalpojuma atteikumu, taču kā papildu pasākums ir pievienota tā identificēšana un GO_AWAY atbildes nosūtīšana.
• Ir ņemts vērā incidents ar backdoor iekļaušanu xz paketē. Izlaižot versijas un veidojot atkarības, tagad tiek izmantota koda iegūšana no Git ar komandu "git archive" ar verifikāciju pēc izlaiduma tagiem un bez gatavu koda arhīvu ielādes.
• Iekļauta noklusētā iebūvētā faila mimetype.assign piegāde.
• Ir pievienota atbalsta iespēja MPTCP (MultiPath TCP) paplašinājumam, kas noklusējumā nav aktivizēts.
• Uzlabota GNU/Hurd un NetBSD 10 platformu atbalsts.
• Samazināts sistēmas izsaukumu skaits, kas tiek veikti, pieslēdzoties backend.
• Nākamajos izlaidumos plānots noklusēt TLSv1.3 kā minimāli atbalstīto TLS protokola versiju (pašlaik MinProtocol parametrs ir iestatīts uz TLSv1.2). Nākotnē server.error-handler-404 apstrādātājs tiks ierobežots tikai 404 kļūdu apstrādē (pašlaik apstrādā gan 404, gan 403).

Tāpat jāatzīmē HTTP servera Apache 2.4.59 izlaišana, kurā ir 21 izmaiņas un triju ievainojamību novēršana:

• CVE-2024-27316 — ievainojamība, kas izraisīja brīvas atmiņas izsīkšanu uzbrukuma "Continuation flood" laikā.
• CVE-2024-24795, CVE-2023-38709 — iespēja veikt HTTP atbilžu sadalīšanas uzbrukumu front-end/backend sistēmās, kas ļauj ievietot papildus atbilžu galvenes vai sadalīt atbildes, lai iejauktos citu lietotāju atbilžu saturā, kas tiek apstrādātas tajā pašā plūsmā starp front-end un backend.
• mod_cgi modulī pievienots CGIScriptTimeout parametrs, lai iestatītu skripta izpildes laika limitu.
• mod_xml2enc nodrošināta saderība ar libxml2 2.12.0 un jaunākiem izlaidumiem.
• Mod_ssl izmanto standarta OpenSSL funkcijas, lai apvienotu žurnālu sarakstus sarakstos, apstrādājot direktīvas SSLCACertificatePath un SSLCADNRequestPath.
• Mod_xml2enc nodrošina XML apstrādi jebkura MIME tipa text/* un XML, lai novērstu datu bojājumus Microsoft OOXML formātos.
• Rīka htcacheclean pievienots failu pārlūkošanas mehānisms visiem apakšdirektorijiem, izmantojot opcijas -a/-A.
• Mod_ssl direktīvās SSLProxyMachineCertificateFile/Path atļauts atsaukties uz failiem, kas satur sertifikātu autoritāšu sertifikātus.
• Rīku htpasswd, htdbm un dbmmanage dokumentācijā precizēts, ka tiek izmantota parole, nevis šifrēšana.
• Htpasswd pievienota atbalsts, lai apstrādātu paroļu heshus, izmantojot SHA-2 algoritmu.
• Mod_env atļauj pārrakstīt sistēmas vides mainīgos.
• Mod_ldap tiek īstenota HTML datu izsistīšana ldap-status galvenē.
• Mod_ssl uzlabota saderība ar OpenSSL 3 un nodrošināta atbrīvotas atmiņas atgriešana sistēmai.
• Mod_proxy atļauts izveidot TTL, lai konfigurētu DNS atbilžu keša ieraksta dzīves laiku.
• Mod_proxy parametrā ProxyRemote pievienota trešā argumenta atbalsts, lai konfigurētu autentifikāciju, kas nodota ārējā proxy.

Avots: opennet.lv