Foi lançado o servidor http leve lighttpd 1.4.76, projetado para combinar alto desempenho, segurança, conformidade com padrões e flexibilidade de configuração. O Lighttpd é adequado para sistemas de alta carga e visa baixo consumo de memória e recursos de CPU. O código do projeto é escrito em C e distribuído sob a licença BSD.
Na nova versão:
- Foi disponibilizada a detecção do ataque "Continuation flood", realizado através do envio de servidor HTTP/2 de um fluxo contínuo de quadros CONTINUATION sem definir a flag END_HEADERS. Afirmou-se que este ataque não leva a uma negação de serviço no lighttpd, mas como medida adicional, sua detecção foi adicionada e uma resposta GO_AWAY é enviada.
- Considerou-se o incidente de injeção de um backdoor no pacote xz. Ao criar lançamentos para a montagem de dependências, agora é utilizado o comando "git archive" para obter código com verificação de tags de lançamento, sem baixar arquivos prontos com código.
- Por padrão, foi fornecido um arquivo incorporado mimetype.assign.
- Foi adicionada a compatibilidade com a extensão MPTCP (MultiPath TCP), que não está ativada por padrão.
- Apoio aprimorado para plataformas GNU/Hurd e NetBSD 10.
- Reduzido o número de chamadas de sistema feitas ao conectar-se ao backend.
- Nas próximas versões, planeja-se definir TLSv1.3 como a versão mínima suportada por padrão do protocolo TLS (atualmente, o parâmetro MinProtocol está definido como TLSv1.2). No futuro, o manipulador server.error-handler-404 será limitado apenas ao tratamento de erros 404 (atualmente, tanto 404 quanto 403 são tratados).
Também vale mencionar o lançamento do servidor HTTP Apache 2.4.59, que apresenta 21 alterações e corrige três vulnerabilidades:
- CVE-2024-27316 — vulnerabilidade que leva ao esgotamento da memória livre ao realizar o ataque "Continuation flood."
- CVE-2024-24795, CVE-2023-38709 — possibilidade de realizar um ataque de divisão de respostas HTTP em sistemas front-end-backend, permitindo a inserção de cabeçalhos adicionais de resposta ou a fragmentação de respostas para interferir no conteúdo das respostas de outros usuários que estão sendo processadas no mesmo fluxo entre front-end e backend.
- No módulo mod_cgi, foi adicionado o parâmetro CGIScriptTimeout para definir o timeout da execução do script.
- No mod_xml2enc, a compatibilidade com libxml2 2.12.0 e versões mais recentes foi garantida.
- No mod_ssl, as funções padrão do OpenSSL são aplicadas para compor listas de nomes de autoridades certificadoras ao processar as diretivas SSLCACertificatePath e SSLCADNRequestPath.
- No mod_xml2enc, o processamento de XML para quaisquer tipos MIME text/* e XML é garantido para evitar corrupção de dados em formatos Microsoft OOXML.
- Na ferramenta htcacheclean, ao especificar as opções -a/-A, foi implementada uma iteração sobre todos os arquivos em cada subdiretório.
- No mod_ssl, nas diretivas SSLProxyMachineCertificateFile/Path, agora é permitido referenciar arquivos que contêm certificados de autoridades certificadoras.
- Na documentação das ferramentas htpasswd, htdbm e dbmmanage, está esclarecido que elas utilizam hashing, e não criptografia de senhas.
- No htpasswd, foi adicionada a capacidade de processar hashes de senhas utilizando o algoritmo SHA-2.
- No mod_env, a redefinição de variáveis de ambiente do sistema é permitida.
- No mod_ldap, foi implementado o escape de dados HTML no cabeçalho ldap-status.
- No mod_ssl, houve uma melhoria na compatibilidade com o OpenSSL 3 e garantiu-se a devolução da memória liberada ao sistema.
- No mod_proxy, é possível estabelecer TTL para configurar o tempo de vida das entradas no cache de respostas DNS.
- No mod_proxy, o parâmetro ProxyRemote agora suporta um terceiro argumento, permitindo configurar as credenciais passadas para o proxy externo para autenticação Basic.
Fonte: opennet.ru
