lighttpd 已更新至 1.4.35 版，可修正錯誤和安全性問題：

CVE-2014-2323：lighttpd 中的 mod_mysql_vhost.c 存在一個 SQL 插入弱點，允許遠端攻擊者透過與 request_check_hostname 相關的主機名稱執行任意 SQL 命令。

CVE-2014-2323：lighttpd 中的 (1) mod_evhost 與 (2) mod_simple_vhost 存在多個目錄遊走弱點，其允許遠端攻擊者讀取任意檔案，方法是透過主機名稱中的 ..(點點) 讀取任意檔案，這與 request_check_hostname 相關。

如需詳細資訊，請參閱 lighttpd 公告頁面：
http://download.lighttpd.net/lighttpd/security/lighttpd_sa_2014_01.txt

其他變更：

- [網路/ssl] 修正 TLSEXT 停用時的版本錯誤

- [mod_fastcgi] 修正釋放後使用 (僅在已啟動 fastcgi 除錯時觸發)

- [mod_rrdtool] 修正無效讀取 (字串未以 null 終止)

- [mod_dirlisting] 修正 pcre 失敗時的記憶體洩漏

- [mod_fastcgi、mod_scgi] 修正衍生後端時的資訊洩漏

- [mod_magnet] 修正記憶體洩漏

- 新增交換器失敗時的註解

- 移除邏輯無作用程式碼

- [buffer] 修正 buffer_is_equal_right_len 中的長度檢查

- 修正組態剖析及其他初始化時的錯誤案例中的資訊洩漏

- 新增 force_assert() 以強制執行宣告，因為 -DNDEBUG 已停用單一 assert()s (修正 #2546)

- [mod_cml_lua] 修正 NULL 指標解除參照

- 強制執行宣告：設定 FD_CLOEXEC 必須運作 (如果可用)

- [network] 檢查 lseek() 的傳回值

- 修正 stream_open/stat_cache_get_entry 中未經過檢查的傳回值

- [mod_webdav] 修正處理檔案建立錯誤時的邏輯錯誤

- 檢查 unix 網域通訊端檔案名稱的長度

- 修正 SQL 插入/主機名稱驗證 (感謝 Jann Horn) 如需所有變更資訊，請參閱 /usr/share/doc/packages/lighttpd/NEWS

偵測

openSUSE 安全性更新：lighttpd (openSUSE-SU-2014:0449-1)

high Nessus Plugin ID 75308

找不到變更記錄