4月 272008
受影响系统：
LightTPD LightTPD 1.4.x
LightTPD LightTPD 1.3.x
不受影响系统：
LightTPD LightTPD 1.4.14
描述：
Lighttpd是一款轻型的开放源码Web Server软件包。
Lighttpd如果在解析/r/n/r/n期间连接中断的话，服务器就会陷入死循环，使用100%的CPU时间。攻击者可以反复利用这个漏洞，直至到达服务器的并行连接极限或到达文件描述符限制。
Lighttpd为mtime缓存所生成的字符串，缓存密钥默认值为0。这时字符串的指针仍为空，如果请求了mtime为0的文件就会试图访问空指针导致崩溃。利用这个漏洞要求恶意用户能够上传文件或操控文件的mtime。
厂商补丁：
LightTPD
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：
http://www.lighttpd.net/assets/2007/4/13/lighttpd-1.4.x_crlf_parsing_dos.patch
http://www.lighttpd.net/assets/2007/4/13/lighttpd-1.4.x_zero_mtime_crash.patch
本篇文章来源于 黑客手册
原文链接：http://www.nohack.cn/bugs/other/20070419/42971.html