Utgivelse av http-serverne Lighttpd 1.4.76 og Apache httpd 2.4.59

Utgitt lansering av den lettvekts HTTP-serveren lighttpd 1.4.76, som er fokusert på en kombinasjon av høy ytelse, sikkerhet, overholdelse av standarder og konfigurasjonsfleksibilitet. Lighttpd er egnet for bruk i høytytende systemer og sikter på lavt minne- og CPU-forbruk. Koden for prosjektet er skrevet i C og distribueres under BSD-lisensen.

I den nye versjonen:

• Det er sikret oppdagelse av angrepet "Continuation flood", utført ved å sende til server HTTP/2 en konstant strøm av CONTINUATION-rammer uten å sette END_HEADERS-flagget. Det hevdes at dette angrepet ikke fører til nekt av tjeneste for lighttpd, men som et ekstra tiltak er det lagt til oppdagelse av angrepet og sending av GO_AWAY-svar.
• Hendelsen med innføring av en bakdør i xz-pakken er tatt i betraktning. Ved opprettelsen av utgivelser for avhengighetsbygging brukes nå koden hentet fra Git med kommandoen "git archive" med verifisering av utgivelsestagger og uten nedlasting av eksisterende arkiver med kode.
• Som standard er den innebygde filen mimetype.assign gitt.
• Støtte for MPTCP (MultiPath TCP) er lagt til, men er ikke aktivert som standard.
• Støtten for GNU/Hurd og NetBSD 10-plattformer er forbedret.
• Antall systemanrop som gjøres ved tilkoblinger til backend er redusert.
• I fremtidige utgivelser er det planlagt å sette TLSv1.3 som den minimum støttede standardversjonen av TLS-protokollen (nå er MinProtocol-parameteren satt til TLSv1.2). I fremtiden vil server.error-handler-404 begrenses til kun å behandle 404-feil (nå behandles både 404 og 403).

Det kan også nevnes utgivelsen av HTTP-serveren Apache 2.4.59, som inneholder 21 endringer og løser tre sårbarheter:

• CVE-2024-27316 — en sårbarhet som fører til uttømming av ledig minne ved gjennomføring av angrepet "Continuation flood".
• CVE-2024-24795, CVE-2023-38709 — muligheten for å utføre angrep ved å dele HTTP-responser i frontend-backend-systemer, som gjør det mulig å injisere ekstra responsoverskrifter eller splitte svar for å trenge seg inn i innholdet av svar fra andre brukere, behandlet i samme strøm mellom frontend og backend.
• I mod_cgi er parameteren CGIScriptTimeout lagt til for å sette tidsgrensen for skriptkjøring.
• I mod_xml2enc er kompatibiliteten med libxml2 2.12.0 og nyere utgivelser sikret.
• I mod_ssl har standardfunktioner fra OpenSSL været anvendt til at sammensætte lister over navne på certifikatmyndigheder ved behandling af direktiverne SSLCACertificatePath og SSLCADNRequestPath.
• I mod_xml2enc er XML-behandling sikret for alle MIME-typer text/* og XML for at forhindre dataskader i Microsoft OOXML-formater.
• I værktøjet htcacheclean er der implementeret en gennemgang af alle filer for hver undermappe ved angivelse af indstillingerne -a/-A.
• I mod_ssl er det blevet tilladt at henvise til filer, der indeholder certifikater fra certifikatmyndigheder i direktiverne SSLProxyMachineCertificateFile/Path.
• I dokumentationen for værktøjerne htpasswd, htdbm og dbmmanage er det præciseret, at der anvendes hashing frem for kryptering af adgangskoder.
• I htpasswd er der tilføjet support til behandling af adgangskodehashes ved hjælp af SHA-2-algoritmen.
• I mod_env er det tilladt at tilsidesætte systemmiljøvariabler.
• I mod_ldap er HTML-data i ldap-status-hovedet blevet korrekt behandlet.
• I mod_ssl er kompatibiliteten med OpenSSL 3 forbedret, og systemet kan nu returnere frigjort hukommelse.
• I mod_proxy er det blevet tilladt at sætte TTL for konfiguration af levetiden af poster i DNS-cache-svar.
• I mod_proxy er der tilføjet understøttelse af et tredje argument til parameteren ProxyRemote, som gør det muligt at konfigurere legitimationer tilsendt til en ekstern proxy for grundlæggende autentificering.

Kilde: opennet.ru