Drupal 6.2, un aggiornamento di sicurezza
Venerdì 11 Aprile 2008 - 08:35
di flavio.copes
È stato rilasciato da qualche giorno Drupal 6.2, l’ultimo aggiornamento del branch 6 di Drupal. Esso corregge un problema di sicurezza e pone rimedio a dei bug che sono stati riscontrati, quindi è fortemente consigliato l’upgrade.
Non sono state introdotte nuove feature: come riporta il sito ufficiale, le nuove funzionalità che vengono implementate saranno introdotte soltanto nella futura versione 7.0.
Meno novità significa anche meno bug, e questa è una prerogativa del team di sviluppo: meglio perfezionare le novità introdotte nella versione 6.0 e correggere i problemi di sicurezza piuttosto che introdurre nuove funzionalità.
Si vedano le Release Notes per un dettagliato rapporto sui bug corretti.
Per quanto riguarda il problema di sicurezza, è stato portato alla luce nel Security Advisory SA-2008-026 di ieri, e riguarda le versioni di Drupal 6.0 e 6.1.
Infatti l’arrivo della versione 6.0 ha introdotto un nuovo sistema per la gestione dei menu, ed in particolare è stata modificata la gestione dei permessi di accesso. Questo sistema, come recita il Security Advisory, avrebbe portato a dei problemi causati da un uso improprio delle feature, dovuto a sviluppatori che non hanno ben compreso come utilizzarlo.
Sembra infatti che con le versioni 6.0 e 6.1 di Drupal
- ogni utente può modificare le pagine del profilo di altri utenti;
- gli utenti con permesso di visualizzare le pagine di amministrazione sono in grado di modificare il tipo di contenuto;
- le pagine blog e tracker vengono visualizzate anche agli utenti che non hanno il permesso “accesso al contenuto del sito”.
Per questo è stato introdotto un sistema di gestione più sicuro di queste funzioni, attraverso una modifica delle API, e sono stati corretti alcuni problemi di gestione dei menu nel core di Drupal.
La modifica delle API porta gli sviluppatori a dover modificare i moduli che fanno uso delle funzioni corrette.
Per informazioni su come eseguire l’upgrade è necessario seguire le istruzioni riportate sul sito ufficiale.