在 TLS/SSL 通訊協定中發現數個弱點。此更新可解決 lighttpd 中的這些通訊協定弱點。

- CVE-2009-3555 Marsh Ray、Steve Dispensa 和 Martin Rex 發現，TLS 與 SSLv3 通訊協定未正確使重新交涉交握和現有的連線產生關聯，進而允許攔截式攻擊者將資料插入 HTTPS 工作階段。此問題是在 lighttpd 中透過停用用戶端預設起始的重新交涉加以解決。

實際需要這類重新交涉的使用者可以透過新的 'ssl.disable-client-renegotiation'　參數對其予以重新啟用。

- CVE-2012-4929 Juliano Rizzo 和 Thai Duong 在 TLS/SSL 通訊協定中使用壓縮時，發現一個弱點。這個側通道攻擊 dubbed'CRIME' 允許 eavesdroppers 收集資訊以復原通訊協定中的原始純文字。此更新可停用壓縮。

偵測

Debian DSA-2626-1：lighttpd - 數個問題

medium Nessus Plugin ID 64662

找不到變更記錄