Objavljen je izdanak laganog http servera lighttpd 1.4.76, usmjerenog na kombinaciju visoke performanse, sigurnosti, usklađenosti s normama i fleksibilnosti podešavanja. Lighttpd je prikladan za korištenje na sustavima s visokim opterećenjem i usmjeren je na nisku potrošnju memorije i CPU resursa. Kod projekta napisan je na jeziku C i distribuiran je pod BSD licencom.
V novi različici:
- Osigurano je otkrivanje napada "Continuation flood", provedenog slanjem na strežnik HTTP/2 neprekidnog toka okvira CONTINUATION bez postavljanja zastavice END_HEADERS. Tvrdnja je da ovaj napad ne dovodi do preopterećenja lighttpd-a, ali kao dodatna mjera dodano je njegovo otkrivanje i slanje odgovora GO_AWAY.
- Uzmite u obzir incident s uvođenjem backdoora u paket xz. Prilikom izrade izdanaka za sastavljanje ovisnosti sada se koristi dohvaćanje koda iz Gita pomoću "git archive" s verifikacijom prema oznakama izdanja i bez preuzimanja gotovih arhiva s kodom.
- Prema zadanim postavkama dostupan je ugrađeni datoteka mimetype.assign.
- Dodana je podrška za proširenje MPTCP (MultiPath TCP), koja nije aktivirana prema zadanim postavkama.
- Poboljšana podrška za platforme GNU/Hurd i NetBSD 10.
- Smanjen je broj sistemskih poziva koji se javljaju prilikom povezivanja s backendom.
- U sljedećim izdanjima planira se postaviti TLSv1.3 kao minimalno podržavana verzija TLS protokola prema zadanim postavkama (trenutno je parametar MinProtocol postavljen na TLSv1.2). U budućnosti će se obrada grešaka server.error-handler-404 ograničiti samo na obradu grešaka 404 (trenutno se obrađuju i 404 i 403).
Također, vrijedi spomenuti izdanak HTTP servera Apache 2.4.59, u kojem je predstavljeno 21 promjena i otklonjena su tri ranjivosti:
- CVE-2024-27316 — ranjivost koja dovodi do iscrpljivanja slobodne memorije tijekom napada "Continuation flood".
- CVE-2024-24795, CVE-2023-38709 — mogućnost provođenja napada raspodjele odgovora HTTP na sustavima frontend-backend, omogućavajući uvođenje dodatnih zaglavlja odgovora ili razdvajanje odgovora kako bi se infiltrirali u sadržaj odgovora drugih korisnika koji se obrađuju u istom toku između frontenda i backenda.
- U modul mod_cgi dodan je parametar CGIScriptTimeout za postavljanje vremenskog ograničenja izvođenja skripte.
- U mod_xml2enc osigurana je kompatibilnost s libxml2 2.12.0 i novijim izdanjima.
- V mod_ssl so za obdelavo seznama imen izdajateljev potrdil pri obravnavi direktiv SSLCACertificatePath in SSLCADNRequestPath uporabljene standardne funkcije OpenSSL.
- V mod_xml2enc je podprta obdelava XML za vse MIME tipe text/* in XML za preprečevanje poškodb podatkov v formatih Microsoft OOXML.
- V orodju htcacheclean je pri določitvi možnosti -a/-A omogočeno prečkanje vseh datotek za vsako poddirektorij.
- V mod_ssl so v direktivah SSLProxyMachineCertificateFile/Path omogočene sklice na datoteke, ki vsebujejo potrdila izdajateljev.
- V dokumentaciji za orodja htpasswd, htdbm in dbmmanage je pojasnjeno, da uporabljajo hashi, ne pa šifriranja gesel.
- V htpasswd je dodana podpora za obdelavo hashev gesel z uporabo algoritma SHA-2.
- V mod_env je dovoljeno ponastavljanje sistemskih spremenljivk okolja.
- V mod_ldap je izvedeno escaping HTML podatkov v glavi ldap-status.
- V mod_ssl je izboljšana združljivost z OpenSSL 3 in zagotovljeno vračilo sproščene pomnilnika sistemu.
- V mod_proxy je omogočeno nastavljanje TTL za konfiguracijo časa življenja zapisov v predpomnilniku DNS odgovorov.
- V mod_proxy je dodatni argument za ProxyRemote, s katerim lahko nastavite prenesene poverilnice za osnovno avtentifikacijo na zunanji proxy.
Izvor: opennet.ru
