在 TLS/SSL 协议中发现多个漏洞。此更新解决了 lighttpd 中的这些协议漏洞。

- CVE-2009-3555 Marsh Ray、Steve Dispensa 和 Martin Rex 发现，TLS 和 SSLv3 协议未正确将重新协商握手与现有连接相关联，这允许中间人攻击者将数据插入到 HTTPS 会话中。已通过默认禁用客户端启动的重新协商，在 lighttpd 中解决了此问题。

实际需要此类重新协商的用户可通过新的“ssl.disable-client-renegotiation”参数重新启用它们。

- CVE-2012-4929 Juliano Rizzo 和 Thai Duong 在使用压缩时在 TLS/SSL 协议中发现了一个漏洞。dubbed'CRIME' 这一边信道攻击允许窃听者收集信息以还原协议中的原始明文。此更新禁用压缩。

检测

Debian DSA-2626-1：lighttpd - 多个问题

medium Nessus 插件 ID 64662

未找到变更日志