Caddy 2.11.8 corrige des délais d’attente et renforce la sécurité des requêtes

Ce qui est nouveau

Caddy a publié la version 2.11.8, issue de sa branche de maintenance 2.11. Elle regroupe des corrections de fonctionnement et un durcissement de sécurité. Le projet souligne notamment les installations servant du PHP ou utilisant la variable {host} dans leurs chemins de fichiers.

Deux avis de sécurité accompagnent cette sortie. Le premier concerne les versions jusqu’à 2.11.7 : dans certaines configurations où le répertoire racine dépend du nom d’hôte demandé, un client non authentifié peut sortir de l’arborescence prévue. Le second décrit un contournement des contrôles d’accès avec php_fastcgi, affectant les versions de 2.4.6 à 2.11.7. Les deux avis désignent 2.11.8 comme version corrigée.

Ce qui change et pourquoi

Les délais d’inactivité introduits dans Caddy 2.11.6 font l’objet de nouvelles corrections. Les délais définis par route priment désormais sur ceux du serveur ; lorsqu’ils sont imbriqués, le plus interne s’applique. Les échéances fixées par les gestionnaires de requêtes constituent aussi une limite que les délais d’inactivité ne doivent plus dépasser.

En HTTP/2, une pause dans la lecture du corps d’une requête pouvait déclencher une expiration, notamment lorsqu’un serveur en amont absorbait lentement un téléversement. Le correctif limite le délai d’inactivité aux lectures effectivement en cours, évitant les erreurs 502 provoquées par cette situation.

Côté sécurité, Caddy rejette désormais sur tous les protocoles les noms d’hôte contenant des caractères interdits, ainsi que ceux uniquement constitués de points. Cette validation empêche leur utilisation pour déplacer une racine fondée sur {host}. La faille PHP reposait, elle, sur une divergence entre le chemin normalisé examiné par les règles d’accès et le chemin brut utilisé pour déterminer le script à exécuter. Dans le scénario documenté, le fichier index.php de repli est absent : la réécriture normalisant le chemin ne se déclenche alors pas, et le transport FastCGI utilise le chemin brut.

Pourquoi c’est important

La portée dépend de la configuration. La faille liée à {host} peut exposer les fichiers lisibles par le processus Caddy et permettre l’exécution de scripts PHP hors de l’arborescence prévue. L’avis précise que les sites déclarant explicitement leurs noms d’hôte ne sont pas concernés.

Le contournement PHP peut rendre exécutable un script protégé par une règle d’accès ; ses conséquences s’aggravent si l’attaquant contrôle aussi un fichier PHP sur disque. Enfin, le durcissement modifie les requêtes acceptées. Caddy signale des ruptures de compatibilité, tout en indiquant que la plupart des configurations ne devraient pas être affectées.