Släpp av http-servrarna Lighttpd 1.4.76 och Apache httpd 2.4.59

Utgivningen av den lätta HTTP-servern lighttpd 1.4.76 har publicerats, med fokus på att kombinera hög prestanda, säkerhet, standardkompatibilitet och konfigurerbarhet. Lighttpd är lämplig för användning i högbelastade system och är inriktad på lågt minnes- och CPU-användande. Projektets kod är skriven i C och distribueras under BSD-licensen.

I den nya versionen:

• Det har säkerställts att attacker av typen "Continuation flood" kan upptäckas genom att skicka en server HTTP/2 oavbruten ström av CONTINUATION-ramar utan att sätta flaggan END_HEADERS. Det sägs att denna attack inte leder till en nedtid för lighttpd, men som en extra åtgärd har upptäckten lagts till och ett GO_AWAY-svar skickas.
• Incidenten med inbäddning av en bakdörr i paketet xz har beaktats. Vid skapandet av utgåvor för beroendebyggnader används nu kodhämtning från Git med kommandot "git archive" och verifiering via utgåvans taggar, utan att ladda ner färdiga kodarkiv.
• Som standard ingår en inbyggd fil mimetype.assign.
• Stödet för MPTCP (MultiPath TCP) har lagts till, vilket inte är aktiverat som standard.
• Stödet för plattformarna GNU/Hurd och NetBSD 10 har förbättrats.
• Antalet systemanrop som görs vid anslutningar till backend har minskats.
• I kommande versioner planeras TLSv1.3 att sättas som den minimi standardstödda versionen av TLS (för närvarande är inställningen MinProtocol satt till TLSv1.2). I framtiden kommer hanteraren server.error-handler-404 att begränsas till att endast hantera 404-fel (för närvarande hanteras både 404 och 403).

Det kan också nämnas att utgåvan av HTTP-servern Apache 2.4.59 inkluderar 21 förändringar och tre sårbarheter har åtgärdats:

• CVE-2024-27316 — en sårbarhet som leder till att ledigt minne tar slut vid attacker av typen "Continuation flood".
• CVE-2024-24795, CVE-2023-38709 — möjligheten att utföra attacker genom att dela upp HTTP-svar på frontend-backend-system, vilket möjliggör insättning av ytterligare svarshuvuden eller uppdelning av svar för att infiltrera innehållet av svaren från andra användare som hanteras i samma ström mellan frontend och backend.
• I modulen mod_cgi har parametern CGIScriptTimeout lagts till för att ställa in timeout för skriptverket.
• I mod_xml2enc har kompatibiliteten med libxml2 2.12.0 och nyare versioner säkerställts.
• I mod_ssl används OpenSSL:s standardfunktioner för att sammanställa listor över certifikatutfärdares namn vid bearbetning av direktiven SSLCACertificatePath och SSLCADNRequestPath.
• I mod_xml2enc har bearbetningen av XML för alla MIME-typer text/* och XML säkerställts för att undvika dataskador i Microsoft OOXML-format.
• I verktyget htcacheclean har genomgången av alla filer för varje undermapp implementerats när alternativen -a/-A anges.
• I mod_ssl kan man i direktiven SSLProxyMachineCertificateFile/Path referera till filer som innehåller certifikat från certifikatutfärdare.
• I dokumentationen för verktygen htpasswd, htdbm och dbmmanage har det preciserats att de använder hashning och inte kryptering av lösenord.
• I htpasswd har stöd för bearbetning av lösenordshashar med SHA-2-algoritmen lagts till.
• I mod_env tillåts överskrivning av systemvariabler för miljön.
• I mod_ldap har HTML-data i ldap-status-huvudet exekverats.
• I mod_ssl har kompatibiliteten med OpenSSL 3 förbättrats och friupptagen minne återlämnas till systemet.
• I mod_proxy tillåts inställning av TTL för att konfigurera livslängden på poster i cachen för DNS-svar.
• I mod_proxy har en tredje argument lagts till i parametern ProxyRemote, vilket gör det möjligt att konfigurera de uppgifter som överförs till en extern proxy för Basic-autentisering.

Källa: opennet.ru