Drupal 7.29 e 6.32 maintenance releases

In attesa di Drupal 8, protagonista di un lunghissimo coming soon che ha portato ad inizio luglio al rilascio della tredicesima Alpha e ad un’ulteriore implementazione del progetto Drupal Commerce in versione 2.x, il team del progetto ha recentemente aggiornato i due rami di sviluppo attualmente supportati; motivo per il quale sono ora disponibili Drupal 7.29 e Drupal 6.32, entrambe delle maintenance releases.

Il passaggio alla nuove versioni è fortemente raccomandato, detto questo è comunque d’obbligo precisare che nessuno dei due rilasci introduce delle funzionalità addizionali; sia Drupal 7.29 che Drupal 6.32 sarebbero infatti il risultato di interventi correlati al bugfixing. Nello specifico gli sviluppatori avrebbero lavorato al fine di eliminare alcune vulnerabilità comuni ad entrambi i rami, ragion per cui non sarebbe errato parlare anche di security releases.

Le segnalazioni rese note dal Drupal Security Team riguarderebbero delle vulnerabilità multiple a livello di core exploitabili da remoto e classificate a livello critico; ad accomunare le due versioni sarebbe stato sia un rischio di Denial of Service tramite HTTP Host header malevolo, dovuto ad un carente livello di validazione a carico dei valori trasmessi (anche in modalità multi-site), e sia una moderata esposizione al pericolo di Cross-site scripting a causa di un processo di sanitizzazione difettoso da parte della form API.

Per quanto riguarda il solo ramo 7.x, le vulnerabilità principali individuate nelle versioni precedenti alla 7.29 avrebbero riguardato in primo luogo un rischio di bypass in fase di accesso (livello critico) dovuto al fatto che il modulo File (incluso a livello di core) non effettuava controlli sufficienti sui permessi per la visualizzazione degli allegati; in secondo luogo sarebbe stato risolto un pericolo moderato di Cross-site scripting collegato all’utilizzo di Ajax (per esempio per l’auto-completamento dei campi) nei form.

Si ricorsa che il Drupal Project ha recentemente stabilito di prolungare i ciclo di vita, e quindi il supporto, per Drupal 6, iniziativa che potrebbe far pensare ad un prolungamento nei tempi di attesa per il rilascio di Drupal 8.

Via Drupal