远程攻击者可利用低于 1.4.33 的 lighttpd 中的释放后使用漏洞，通过可触发 FAMMonitorDirectory 失败的不明矢量造成拒绝服务（分段错误和崩溃）。

当启用了 SNI 时，低于 1.4.34 的 lighttpd 将配置弱 SSL 密码，这使远程攻击者可通过在客户端-服务器数据流中插入数据包更轻松地劫持会话，或通过嗅探网络更轻松地获取敏感信息。

低于 1.4.33 的 lighttpd 未检查 (1) setuid、(2) setgid 或 (3) setgroups 函数的返回值，这可能造成 lighttpd 在重新启动时以根用户身份运行，并允许远程攻击者获取权限，这一点已通过对达到用户进程限制时可导致 setuid 失败的 clone 函数的多种调用证实。

检测

Amazon Linux AMI：lighttpd (ALAS-2014-299)

high Nessus 插件 ID 72947

未找到变更日志