Ny famoahana ny mpizara http maivana lighttpd 1.4.76 dia navoaka, nifantoka tamin'ny fampifangaroana ny fampisehoana avo lenta, ny fiarovana, ny fanarahana ny fenitra sy ny fahafaha-manatsara ny fanamafisana. Lighttpd dia mety amin'ny fampiasana amin'ny rafitra feno entana ary mikendry ny fahatsiarovana ambany sy ny fanjifana CPU. Ny kaody tetikasa dia voasoratra amin'ny C ary zaraina amin'ny alàlan'ny fahazoan-dàlana BSD.
Ao amin'ny dikan-teny vaovao:
- Famantarana ny fanafihana "Continuation flood" natao tamin'ny alàlan'ny fandefasana sary mitohy CONTINUATION mankany amin'ny mpizara HTTP/2 tsy misy fametrahana ny saina END_HEADERS omena. Voalaza fa ity fanafihana ity dia tsy miteraka fandavana ny serivisy amin'ny lighttpd, fa ho fepetra fanampiny dia ampiana izany mba hamantarana azy sy handefa valiny GO_AWAY.
- Noraisina ny zava-nitranga mahakasika ny fampidirana varavarana ambadika ao anaty fonosana xz. Rehefa mamorona famoahana ho an'ny fanangonana fiankinan-doha dia alaina avy amin'ny Git ny kaody amin'ny alàlan'ny baiko "git archive" miaraka amin'ny fanamarinana amin'ny alàlan'ny marika famoahana ary tsy misintona arisiva efa vita miaraka amin'ny code.
- Amin'ny alàlan'ny default dia misy rakitra mimetype.assign naorina.
- Fanohanana fanampiny ho an'ny fanitarana MPTCP (MultiPath TCP), izay tsy alefa amin'ny alàlan'ny default.
- Fanohanana nohatsaraina ho an'ny sehatra GNU/Hurd sy NetBSD 10.
- Nihena ny isan'ny antson'ny rafitra rehefa mifandray amin'ny backend.
- Amin'ny famoahana ho avy, kasaina ny hametraka TLSv1.3 ho ny dikan-teny tohanana farany ambany indrindra amin'ny protocol TLS (amin'izao fotoana izao ny parameter MinProtocol dia napetraka amin'ny TLSv1.2). Amin'ny ho avy, ny mpizara server.error-handler-404 dia ho voafetra ho amin'ny fikarakarana lesoka 404 ihany (amin'izao fotoana izao dia samy 404 sy 403 no misahana azy).
Azonao atao ihany koa ny manamarika ny famotsorana ny mpizara Apache HTTP 2.4.59, izay nampiditra fanovana 21 ary nanamboatra vulnerability telo:
- CVE-2024-27316 dia vulnerability izay mitarika ho amin'ny faharerahan'ny fahatsiarovana maimaim-poana mandritra ny fanafihana "Continuation flood".
- CVE-2024-24795, CVE-2023-38709 - ny mety hisian'ny fanafihana manasaraka ny valin-kafatra HTTP amin'ny rafitra front-end-backend, mamela ny fanoloana lohan-dahatsoratra fanampiny na fisarahana ny valin-kafatra mba hanesorana ny votoatin'ny valiny ho an'ny mpampiasa hafa nokarakaraina tamin'ny kofehy mitovy eo anelanelan'ny frontend sy backend.
- Ny mari-pamantarana CGIScriptTimeout dia nampidirina ao amin'ny maody mod_cgi mba hametrahana ny fotoana famaranana ny script.
- mod_xml2enc dia manome fampifanarahana amin'ny libxml2 2.12.0 sy ny famoahana taty aoriana.
- Ao amin'ny mod_ssl, ny fiasa OpenSSL mahazatra dia ampiasaina hanangonana lisitry ny anaran'ny manampahefana fanamarinana rehefa manamboatra ny torolàlana SSLCACertificatePath sy SSLCADNRequestPath.
- mod_xml2enc dia manome fanodinana XML ho an'ny lahatsoratra/* sy XML MIME karazana mba hisorohana ny kolikoly angona amin'ny endrika Microsoft OOXML.
- Ao amin'ny utility htcacheclean, rehefa mamaritra ny safidy -a/-A, dia azo atao ny manisa ny rakitra rehetra ho an'ny subdirectory tsirairay.
- Ao amin'ny mod_ssl, ny torolàlana SSLProxyMachineCertificateFile/Path dia mamela ny fanondroana ireo rakitra misy mari-pankasitrahana fahefana.
- Ny antontan-taratasy momba ny fitaovana htpasswd, htdbm ary dbmmanage dia manazava fa mampiasa hashing izy ireo fa tsy fanafenana tenimiafina.
- htpasswd dia nanampy fanohanana amin'ny fanodinana tenimiafina amin'ny alàlan'ny algorithm SHA-2.
- Mod_env dia mamela ny fanovana ny fari-piainan'ny tontolo iainana.
- mod_ldap dia mametraka HTML mandositra ao amin'ny lohatenin'ny ldap-status.
- mod_ssl dia manatsara ny fifanarahana amin'ny OpenSSL 3 ary miantoka fa averina amin'ny rafitra ny fahatsiarovana nafahana.
- mod_proxy dia mamela ny fametrahana TTL hanitsy ny androm-piainan'ny fidirana ao amin'ny cache valin'ny DNS.
- Ao amin'ny mod_proxy, ny fanohanana ho an'ny tohan-kevitra fahatelo dia nampiana ao amin'ny parameter ProxyRemote, izay ahafahanao manamboatra ny fahazoan-dàlana ho an'ny fanamarinana fototra nafindra tany amin'ny proxy ivelany.
Source: opennet.ru