Vydanie http serverov Lighttpd 1.4.76 a Apache httpd 2.4.59

Bol vydaný release ľahkého http servera lighttpd 1.4.76, zameraného na kombináciu vysokej výkonnosti, bezpečnosti, súladu so štandardmi a flexibility konfigurácie. Lighttpd je vhodný na použitie v systémoch s vysokou záťažou a je zameraný na nízku spotrebu pamäte a CPU. Kód projektu je napísaný v jazyku C a je distribuovaný pod licenciou BSD.

V novej verzii:

• Je zabezpečené odhalenie vykonávania útoku „Continuation flood“, realizovaného prostredníctvom posielania na server HTTP/2 nepretržitého toku rámcov CONTINUATION bez nastavenia príznaku END_HEADERS. Tvrdí sa, že tento útok nevedie k odmietnutiu služby lighttpd, ale ako dodatočné opatrenie bolo pridané jeho odhalenie a zaslanie odpovede GO_AWAY.
• Bol zaznamenaný incident s vniknutím bota do balíka xz. Pri vytváraní vydaní pre zostavenie závislostí sa teraz používa získavanie kódu z Git príkazom „git archive“ s overovaním podľa tagov vydania a bez sťahovania hotových archívov s kódom.
• Predvolene je poskytnutý zabudovaný súbor mimetype.assign.
• Pridaná podpora rozšírenia MPTCP (MultiPath TCP), ktorá nie je predvolene aktívna.
• Vylepšená podpora platforiem GNU/Hurd a NetBSD 10.
• Znížený počet systémových volaní pri pripojeniach k backendu.
• V nasledujúcich vydaniach sa plánuje nastaviť TLSv1.3 ako minimálne podporovanú predvolenú verziu protokolu TLS (teraz je parameter MinProtocol nastavený na hodnotu TLSv1.2). V budúcnosti bude spracovateľ server.error-handler-404 obmedzený len na spracovanie chýb 404 (teraz spracováva ako 404, tak aj 403).

Taktiež môžeme spomenúť vydanie HTTP servera Apache 2.4.59, v ktorom je predstavených 21 zmien a opravené tri zraniteľnosti:

• CVE-2024-27316 — zraniteľnosť, ktorá vedie k vyčerpaniu voľnej pamäte pri vykonaní útoku „Continuation flood“.
• CVE-2024-24795, CVE-2023-38709 — možnosť uskutočnenia útoku rozdelením odpovedí HTTP na systémoch frontend-backend, ktorá umožňuje dosiahnuť vloženie dodatočných hlavičiek odpovede alebo rozdelenie odpovedí, aby sa vklínili do obsahu odpovedí iných používateľov, spracovávaných v rovnakom vlákne medzi frontendom a backendom.
• Do modulu mod_cgi bol pridaný parameter CGIScriptTimeout na nastavenie časového limitu vykonávania skriptu.
• V mod_xml2enc je zabezpečená kompatibilita s libxml2 2.12.0 a novšími vydaniami.
• V mod_ssl sú implementované štandardné funkcie OpenSSL na zostavovanie zoznamov názvov certifikačných autorít pri spracovaní direktív SSLCACertificatePath a SSLCADNRequestPath.
• V mod_xml2enc je zabezpečené spracovanie XML pre akékoľvek MIME typy text/* a XML na vylúčenie poškodenia údajov vo formátoch Microsoft OOXML.
• V utilite htcacheclean bola implementovaná iterácia cez všetky súbory pre každý podadresár pri zadaní volieb -a/-A.
• V mod_ssl je v direktívach SSLProxyMachineCertificateFile/Path povolené odkazovať na súbory obsahujúce certifikáty certifikačných autorít.
• V dokumentácii k utilitám htpasswd, htdbm a dbmmanage bolo upresnené, že v nich sa používa hashovanie, nie šifrovanie hesiel.
• V htpasswd bola pridaná podpora pre spracovanie hashov hesiel s použitím algoritmu SHA-2.
• V mod_env je povolené predefinovanie systémových premenných prostredia.
• V mod_ldap je vykonané escapovanie HTML údajov v hlavičke ldap-status.
• V mod_ssl bola zlepšená kompatibilita s OpenSSL 3 a je zabezpečené uvoľnenie pamäte pre systém.
• V mod_proxy je povolené nastaviť TTL pre konfiguráciu doby života záznamu v cache DNS odpovedí.
• V mod_proxy bola do parametra ProxyRemote pridaná podpora pre tretí argument, pomocou ktorého je možné nastaviť prenosené poverenia na externý proxy pre základnú autentifikáciu.

Zdroj: opennet.ru