Việc phát hành máy chủ http nhẹ lighttpd 1.4.76 đã được xuất bản, tập trung vào sự kết hợp giữa hiệu suất cao, bảo mật, tuân thủ các tiêu chuẩn và tính linh hoạt của cấu hình. Lighttpd phù hợp để sử dụng trên các hệ thống có tải cao và nhằm mục đích tiêu thụ bộ nhớ và CPU thấp. Mã dự án được viết bằng C và được phân phối theo giấy phép BSD.
Trong phiên bản mới:
- Đã phát hiện cuộc tấn công "Continuation flood" được thực hiện bằng cách gửi đến máy chủ Luồng HTTP/2 liên tục gửi các khung CONTINUATION mà không thiết lập cờ END_HEADERS. Cuộc tấn công này được cho là không gây ra tình trạng từ chối dịch vụ trong lighttpd, nhưng cơ chế phát hiện và phản hồi GO_AWAY đã được thêm vào như một biện pháp giảm thiểu bổ sung.
- Sự cố liên quan đến việc đưa cửa hậu vào gói xz đã được tính đến. Khi tạo bản phát hành để tập hợp các phần phụ thuộc, mã hiện được truy xuất từ Git bằng cách sử dụng lệnh “git archive” với xác minh bằng thẻ phát hành và không cần tải xuống các kho lưu trữ tạo sẵn bằng mã.
- Theo mặc định, tệp mimetype.sign tích hợp được cung cấp.
- Đã thêm hỗ trợ cho tiện ích mở rộng MPTCP (MultiPath TCP), tiện ích này không được bật theo mặc định.
- Cải thiện hỗ trợ cho nền tảng GNU/Hurd và NetBSD 10.
- Số lượng cuộc gọi hệ thống được thực hiện khi kết nối với chương trình phụ trợ đã giảm.
- Trong các bản phát hành trong tương lai, dự kiến đặt TLSv1.3 làm phiên bản được hỗ trợ tối thiểu mặc định của giao thức TLS (hiện tại tham số MinProtocol được đặt thành TLSv1.2). Trong tương lai, trình xử lý server.error-handler-404 sẽ bị giới hạn chỉ xử lý các lỗi 404 (hiện tại nó xử lý cả 404 và 403).
Bạn cũng có thể lưu ý bản phát hành máy chủ Apache HTTP 2.4.59, đã đưa ra 21 thay đổi và sửa ba lỗ hổng:
- CVE-2024-27316 là lỗ hổng dẫn đến cạn kiệt bộ nhớ trống trong cuộc tấn công “Continuation Flood”.
- CVE-2024-24795, CVE-2023-38709 - khả năng thực hiện một cuộc tấn công phân tách phản hồi HTTP trên các hệ thống phụ trợ front-end, cho phép thay thế các tiêu đề phản hồi bổ sung hoặc phân tách các phản hồi để trộn nội dung phản hồi cho những người dùng khác được xử lý trong cùng một luồng giữa giao diện người dùng và phụ trợ.
- Tham số CGIScriptTimeout đã được thêm vào mô-đun mod_cgi để đặt thời gian chờ thực thi tập lệnh.
- mod_xml2enc cung cấp khả năng tương thích với libxml2 2.12.0 và các bản phát hành mới hơn.
- Trong mod_ssl, các hàm OpenSSL tiêu chuẩn được sử dụng để tập hợp danh sách tên của cơ quan cấp chứng chỉ khi xử lý các lệnh SSLCACertificatePath và SSLCADNRequestPath.
- mod_xml2enc cung cấp khả năng xử lý XML cho mọi loại văn bản/* và XML MIME để ngăn ngừa hỏng dữ liệu ở các định dạng Microsoft OOXML.
- Trong tiện ích htcacheclean, khi chỉ định các tùy chọn -a/-A, có thể liệt kê tất cả các tệp cho mỗi thư mục con.
- Trong mod_ssl, chỉ thị SSLProxyMachineCertificateFile/Path cho phép tham chiếu đến các tệp chứa chứng chỉ của cơ quan cấp chứng chỉ.
- Tài liệu về các tiện ích htpasswd, htdbm và dbmmanage nêu rõ rằng chúng sử dụng hàm băm chứ không phải mã hóa mật khẩu.
- htpasswd đã thêm hỗ trợ xử lý băm mật khẩu bằng thuật toán SHA-2.
- Mod_env cho phép ghi đè các biến môi trường hệ thống.
- mod_ldap triển khai tính năng thoát HTML trong tiêu đề trạng thái ldap.
- mod_ssl cải thiện khả năng tương thích với OpenSSL 3 và đảm bảo rằng bộ nhớ đã giải phóng sẽ được trả lại cho hệ thống.
- mod_proxy cho phép đặt TTL để định cấu hình thời gian tồn tại của mục nhập trong bộ đệm phản hồi DNS.
- Trong mod_proxy, hỗ trợ cho đối số thứ ba đã được thêm vào tham số ProxyRemote, qua đó bạn có thể định cấu hình thông tin xác thực cho xác thực Cơ bản được truyền tới proxy bên ngoài.
Nguồn: opennet.ru
