lighttpd

• Tämä julkaisu sisältää paljon vikakorjauksia, havaittu scan.coverity.com (ja vielä tulevilla). Pääasiallinen syy julkaisuun on SQL-injektio (ja polun kulku), joka on erityisesti suunniteltu (ja virheellinen) isäntä: otsikot.

Uutta versiossa 1.4.34:

• Tärkeitä muutoksia:
• Jotkut tärkeät tietoturvakorjaukset ovat vireillä (sinun pitäisi jo olla gotton suosikkijakauman kautta); Olen pahoillani viivästyneestä julkaisusta (luultavasti pitäisi viestiä myös tietoturvaongelmia sivuillamme ja postituslistoilla niille, jotka eivät noudata oss-tietoturvaa).
• Päivitimme & quot; standardi & quot; ssl-salakirjoitussarjan suositus ssl.cipher-list = "aRSA + HIGH! 3DES + kEDH + kRSA! kSRP! kPSK"; katso alla yksityiskohtaisista syistä.
• Regression varoitus:
• Lighttpd SA-2013-01 (CVE-2013-4508, "Käyttämällä mahdollisia haavoittuvia salausosioita SNI: llä") korjaus sisältää regressiota:
• Jokainen SSL_CTX saa myös kaikki ssl.ca-tiedoston arvot kaikista konfiguraatiossa olevista lohkoista.
• Tämä tarkoittaa sitä, että ssl.ca-tiedostoillasi ei saa olla syklisiä ketjuja, ja niiden tulisi käyttää ainutkertaisia ​​aiheiden nimeä.
• Katso lisätietoja Debianin bugista - # 729555.
• Tietoturvakorjaukset:
• lighttpd SA-2013-01 (CVE-2013-4508)
• lighttpd SA-2013-02 (CVE-2013-4559)
• lighttpd SA-2013-03 (CVE-2013-4560)
• OpenSSL-salasanoja koskeva suositus:
• Salasanan suositus perustuu ssllabsin SSL / TLS Deployment Best Practices 1.3 / 17 syyskuu 2013:
• BEASTia pidetään asiakkaan puolella lievemmäksi ja RC4: ssä on havaittu uusia heikkouksia, joten on erittäin suositeltavaa poistaa RC4-salakirjoitukset (HIGH ei sisällä RC4)
• On suositeltavaa poistaa myös 3DES: n käytöstä (vaikka RC4- ja 3DES-ohjelmien käytöstä poistaminen käytöstä IE6 + 8: n käytöstä Windows XP: ssä, joten kannattaa tukea 3DES: tä nyt - poista vain! 3DES-osat alla, korvaa se + 3DES! loppu mieluummin AES128: n yli 3DES: llä ja 3DES-variantin käytöstä MD5: n avulla).
• Alla olevat esimerkit suosivat salakirjoituksia, joissa on & quot; Forward Secrecy & quot; ja ECDHE yli DHE (alias EDH); poista + kEDH + kRSA, jos et halua sitä.
• SRP: tä ja PSK: ta ei kuitenkaan tueta, lukuun ottamatta niitä (! kSRP! kPSK), pitää luettelo pienemmäksi (helpompi tarkistaa)
• Koska lähes kaikki avaimet näinä päivinä ovat RSA: n rajoittavat aRSA + HIGH -luettelot, pienemmät listat. Käytä KORKEA aRSA + HIGH sijaan yleisempää versiota varten.
• Ei sisälly tähän tarkoitukseen:
• VAHVUUS: HIGH-lista on jo tilattu, uudelleenjärjestystä ei tarvita. STRENGTH suosittelee myös 3DES: ää AES128: n yli.
• ! SSLv2,! EXPORT,! eNULL,! DES,! RC4,! LOW: HIGH ei pidä sisällyttää näitä salasanoja, eikä niitä tarvitse poistaa.
• MD5: HIGH saattaa sisältää 3DES-salauksen MD5: llä vanhoissa järjestelmissä; ! 3DES: n pitää myös poistaa MD5.
• ! aNULL,! ADH: ei ole väliä palvelimella, ja asiakkaiden tulee aina tarkistaa palvelintodistus, joka epäonnistuu, kun palvelimella ei ole sitä.
• Voit tarkistaa salausluettelon seuraavasti: openssl ciphers -v 'aRSA + HIGH! 3DES + kEDH + kRSA! kSRP! kPSK' | sarake -t (käytä yksittäisiä lainauksia, koska kuori ei pidä! kaksoissarjassa).