lighttpd开放源代码的网页服务器存在越界漏洞
发布时间:2012-01-09

lighttpd(发音为lighty)是一套开放源代码的网页服务器,以BSD许可证发布。相较于其他的网页服务器,lighttpd仅需少量的存储器及CPU资源即可达到同样的性能。今天lighttpd 团队对外发布公告,包括最新版本1.4.29在内的所有版本存在通过mod_auth 模块在base64加密字符的时候会出现符号错误导致的越界漏洞。

具体信息参见:http://download.lighttpd.net/lighttpd/security/lighttpd_sa_2011_01.txt

该漏洞影响了当前lighttpd的所有发布版本以及SVN r2806 之前的版本。目前官方已经发布了补丁,估计新版本1.4.30也会不久发布。下载patch:http://redmine.lighttpd.net/attachments/download/1323/lighttpd-fix-base64-signedness.patch

这个漏洞(http://redmine.lighttpd.net/issues/2370)是一个叫“Xi Wang”的国人发现的。

注:如果你的lighttpd 没有启用mod_auth 模块,则可以表示影响不大。

相关介绍:

Lighttpd是一个德国人领导的开源软件,其根本的目的是提供一个专门针对高性能网站,安全、快速、兼容性好并且灵活的web server环境。具有非常低的内存开销,cpu占用率低,效能好,以及丰富的模块等特点。lighttpd是众多OpenSource轻量级的web server中较为优秀的一个。支持FastCGI, CGI, Auth, 输出压缩(output compress), URL重写, Alias等重要功能,而Apache之所以流行,很大程度也是因为功能丰富,在lighttpd上很多功能都有相应的实现了,这点对于apache的用户是非常重要的,因为迁移到lighttpd就必须面对这些问题。



关键字:
上一篇 下一篇




联系客服QQ:(在线)

遨游销售: 955688
遨游销售: 955655
客户反馈: 346708
遨游技术:7926969(9:00-21:30)
工作时间:早8:30-18:00

业务咨询电话

0532-83026600 0532-83026633
大客户业务:0532-83026633