Увидел свет (http://www.lighttpd.net/2014/1/20/1-4-34/) релиз легковесного http-сервера lighttpd 1.4.34 (http://www.lighttpd.net). Выпуск носит корректирующий характер и содержит около двадцати изменений, из которых три связаны с устранением уязвимостей. Изменена рекомендуемая по умолчанию строка c параметрами применяемых методов шифрования ssl.cipher-list = "aRSA+HIGH !3DES +kEDH +kRSA !kSRP !kPSK", из которой исключена поддержка шифров RC4, 3DES, SRP, PSK и DHE (EDH) и выставлены более жесткие требования к RSA.Устранены три уязвимости:
- Уязвимость CVE-2013-4560 (http://download.lighttpd.net/lighttpd/security/lighttpd_sa_2...) вызвана обращением к уже освобождённой области памяти и позволяет инициировать удалённый отказ в обслуживании (крах процесса). - Уязвимость CVE-2013-4559 (http://download.lighttpd.net/lighttpd/security/lighttpd_sa_2...) вызвана отсутствием проверки значений, возвращаемых функциями setuid, setgid и setgroups, что может привести к запуску lighttpd под пользователем root после перезапуска в условиях достижения процессом заданного в системе лимита.- Уязвимость CVE-2013-4508 (http://download.lighttpd.net/lighttpd/security/lighttpd_sa_2...) связана с использованием слабых SSL-шифров при включении SNI, что позволяет атакующему осуществить подстановку поддельных пакетов в соединение между клиентом и сервером или организовать прослушивание трафика.
Из не связанных с безопасностью изменений можно отметить решение проблем со сборкой без поддержки IPv6, устранение утечек памяти и файловых дескрипторов, организация декодирования URL перед применением rewrite-правил.URL: http://www.lighttpd.net/2014/1/20/1-4-34/
Новость: https://www.opennet.ru/opennews/art.shtml?num=38893
Жив, курилка!Надо будет поглядеть, мож и комбекнуться на него с nginx :)
Этот сервер живее всех живых, живет маршрутизаторах.
после 1.4.28 - изменения раз в год и мизерные, и даже непонятно, как там по части уязвимостей было...сейчас, надеюсь, очухался... :)
Ну, вообще, лучшее есть враг хорошего.
Возможно, авторы действуют, как раз, в этом ключе.
microhttpd, вообще-то. А на взрослых серваках можно с нгинкса и на пепяч спрыгнуть.
У "пепяча" есть один фундаментальный недостаток - каждый процесс, отдающий медленному клиенту результат, впустую занимает память.
Напомните, из какого вы века?
Или так студенты мс развлекаются?
Зыж
Чтобы не вступать в дискуссии с предметами мебели, просто оставлю это тут:
>The server can be better customized for the needs of the particular site.
>For example, sites that need a great deal of scalability can choose to use a threaded MPM like worker or event, while sites requiring stability or compatibility with older software can use a prefork.
Это не дотягивает до модели обработки запросов nginx.
И это всё, что оно может.
Бред.
> Зыж
> Чтобы не вступать в дискуссии с предметами мебели, просто оставлю это тут:
>>The server can be better customized for the needs of the particular site.
>>For example, sites that need a great deal of scalability can choose to use a threaded MPM like worker or event, while sites requiring stability or compatibility with older software can use a prefork.
> http://httpd.apache.org/docs/2.4/mpm.htmlРазница, на самом деле, не очень большая - поток или процесс. Потоки, безусловно, быстрее делаются и могут работать с общей памятью, но поток по прежнему не может заняться обслуживанием следующего клиента, пока текущий клиент не заберёт свою страницу. Те же яйца, только в профиль.
Lighttpd и nginx позволяют бэкэндам работать с максимальной скоростью, на какую они способны, вне зависимости от скорости скачивания страницы клиентом.
А ещё, один поток, повредивший общую память, рушит весь процесс. Так что из-за одного клиента страдают сразу несколько.
> А на взрослых серваках можно с нгинкса и на пепяч спрыгнуть.Вот только что-то нагруженные сайты делают ровно наоборот.
Врядли прятанье кучи апачей за нджинксом можно назвать словом "наоборот".
> Врядли прятанье кучи апачей за нджинксом можно назвать словом "наоборот".Половина вообще апач выносит. А какой в нем смысл? Дергать вебаппу может и сам нжинкс.
И разумеется есть пруф?
http://wiki.nginx.org/HttpFastcgiModule
http://wiki.nginx.org/HttpUwsgiModule
http://wiki.nginx.org/HttpScgiModule
Это не пруфы с цифрами миграции (цитата) высоконагруженных серверов на нждинкс.
Это вики энджикса. Такие же (и больше) есть и в апаче.
Слив?
просто замерь использование памяти в вариантах с апачом и без.по производительности, если nginx фронтом, действительно нет разницы, но потребление оперативки - больше.
примеры? php-fpm, по словам его автора, был разработан в mamba/badoo, как раз чтобы избавиться от апача.
Я верю.
Вот только одно но — это ничего не доказывает.
Вон жаба жрёт как не в себя, а тем не мение очень популярна.
Так же и с апачем.
>Надо будет поглядеть, мож и комбекнуться на него с nginx :)Не надо, оставайся в своем амплуа
Ааатлично! Пошёл апдейтиться...
Из FreeBSD портов случился fail, а в pkg ещё не обновили. Видимо, из-за того же fail :-D
Пускай разбираются сами.
> Пускай разбираются сами.(испуганно) конечно-конечно. Главное не вздумай им помогать.
Не надо грязных намёков. Репорт мэйнтэйнеру ушёл тут же.
Врёте. Ни одного PR по lighttpd в этом году ещё не было.
Вы Мартин Матушка, который его поддерживает в портах? Нет?
Тогда свободен.
Баги принято отправлять в качестве PR, как минимум чтобы они не забылись. Так что либо зовите Мартина, либо вы враль.
С а(о)но(а)ни(ст)мом дискутировать не вижу смысла.
Собака лает - караван идёт.
Не старайся, враль, не сольёшься.
Жду извинительный минет.Тема Re: Lighttpd 1.4.34 upgrade failed
От Martin Matuska <mm@FreeBSD.org>
Кому XXX <XXX@XXX.XXX>
Дата 21.01.2014 23:57
Thanks, resolved.On 2014-01-21 10:06, XXX wrote:
Hi!xM@beta:/usr/ports/www/lighttpd # make showconfig
===> The following configuration options are available for
lighttpd-1.4.34:
BZIP2=on: bzip2 support (mod_compress)
FAM=off: File Alteration Monitor support
GDBM=off: gdbm storage (mod_trigger_b4_dl)
IPV6=off: IPv6 protocol support
LDAP=off: LDAP authentication
LIBEV=on: High-performance events support via libev
LUA=off: lua support (mod_cml, mod_magnet)
MEMCACHE=on: memcached storage (mod_trigger_b4_dl)
MYSQL=on: MySQL support (mod_mysql_vhost)
MYSQLAUTH=on: MySQL authentication (requires WITH_MYSQL)
NODELAY=off: Set TCP_NODELAY on listening sockets
OPENSSL=on: SSL/TLS support via OpenSSL
SPAWNFCGI=on: Depend on spawn-fcgi utility
VALGRIND=off: valgrind support
WEBDAV=off: WebDAV support
===> Use 'make config' to modify these settings
xM@beta:/usr/ports/www/lighttpd # portupgrade lighttpd
[Reading data from pkg(8) ... - 316 packages found - done]
---> Upgrading 'lighttpd-1.4.33' to 'lighttpd-1.4.34' (www/lighttpd)
---> Building '/usr/ports/www/lighttpd'
===> Cleaning for lighttpd-1.4.34
===> License BSD accepted by the user
===> Found saved configuration for lighttpd-1.4.34
===> lighttpd-1.4.34 depends on file: /usr/local/sbin/pkg - found
===> Fetching all distfiles required by lighttpd-1.4.34 for building
===> Extracting for lighttpd-1.4.34
=> SHA256 Checksum OK for lighttpd-1.4.34.tar.bz2.
===> Patching for lighttpd-1.4.34
===> Applying extra patch
/usr/ports/www/lighttpd/files/extra-patch-mysqlauth
1 out of 1 hunks failed--saving rejects to src/Makefile.am.rej
1 out of 1 hunks failed--saving rejects to src/Makefile.in.rej
*** [do-patch] Error code 2Stop in /usr/ports/www/lighttpd.
*** [build] Error code 1Stop in /usr/ports/www/lighttpd.
** Command failed [exit code 1]: /usr/bin/script -qa
/tmp/portupgrade20140121-56229-txbhen env UPGRADE_TOOL=portupgrade
UPGRADE_PORT=lighttpd-1.4.33 UPGRADE_PORT_VER=1.4.33 make
** Fix the problem and try again.
** Listing the failed packages (-:ignored / *:skipped / !:failed)
! www/lighttpd (lighttpd-1.4.33) (patch error)
Какой fail? Всё обновилось как по маслу.
У меня мат-перемат про патч extra-patch-mysqlauth какой-то.
Удалил его руками, всё одно не использую, из Makefile и поставился.
> Из FreeBSD портов случился fail, а в pkg ещё не обновили.Ну ё, это ж бзды. Там суперстабильность кода, обновления вовремя и что там еще нам фанатики рассказывают?
Использую на продакшн-серверах, все заказчики довольны, трафик бегает, сайты за полсекунды грузятся.
С флешем и скриптами?
Извиняюсь, я вообще мимо проходил, но...
"сайты" грузятся за 500 мс ?!
Локалхост же, ну. =)