lighttpd 已更新到版本 1.4.35，修复了下列缺陷和安全问题：

CVE-2014-2323：lighttpd 中的 mod_mysql_vhost.c 中存在 SQL 注入漏洞，允许远程攻击者通过主机名执行任意 SQL 命令，此漏洞与 request_check_hostname 有关。

CVE-2014-2323：lighttpd 中的 (1) mod_evhost 和 (2) mod_simple_vhost 中存在多种目录遍历漏洞，允许远程攻击者通过以下对象读取任意文件 ..主机名中的 (..)，与 request_check_hostname 有关。

可在 lighttpd 公告页面上找到更多信息：
http://download.lighttpd.net/lighttpd/security/lighttpd_sa_2014_01.txt

其他变更：

- [network/ssl] 修复禁用 TLSEXT 时的版本错误

- [mod_fastcgi] 修复释放后使用（仅在 fastcgi 调试处于活动状态时触发）

- [mod_rrdtool] 修复无效读取（非空字符串结尾）

- [mod_dirlisting] 修复 pcre 失败时的内存泄漏

- [mod_fastcgi,mod_scgi] 修复生成后端上的资源泄漏

- [mod_magnet] 修复内存泄漏

- 为 switch fall through 添加注释

- 删除逻辑死代码

- [缓冲区] 修复 buffer_is_equal_right_len 中的长度检查

- 修复 config 解析和其他初始化时的出错情况下的资源泄漏

- 添加 force_assert() 以强制实施断言，因为简单 assert() 通过 -DNDEBUG 禁用（补丁 #2546）

- [mod_cml_lua] 修复空指针取消引用

- 强制断言：设置 FD_CLOEXEC 必须有效（如果可用）

- [network] 检查 lseek() 的返回值

- 修复 stream_open/stat_cache_get_entry 产生的未检查的返回值

- [mod_webdav] 修复处理文件创建错误中的逻辑错误

- 检查 unix 域套接字文件名的长度

- 修复 SQL 注入 / 主机名验证（感谢 Jann Horn）有关所有变更，请参阅 /usr/share/doc/packages/lighttpd/NEWS

检测

openSUSE 安全更新：lighttpd (openSUSE-SU-2014:0449-1)

high Nessus 插件 ID 75308

未找到变更日志