Aggiornamenti di sicurezza per Drupal: Drupal 5.3 e Drupal 4.7.8

Dopo qualche mese dall'uscita di Drupal 5.2 e Drupal 4.7.7 ecco il Security announcement che segnala una serie di bug più o meno gravi che affliggono le versioni correnti di Drupal.

Per tutti è altamente consigliato di aggiornare alle ultime versioni di Drupal, la 5.3 per il ramo 5.x e la 4.7.8 per il ramo ancora mantenuto (ma non per molto) 4.7.x.

Delle sei segnalate solo due sono di grado Higly Critical e Critical e riguardano rispettivamente l'install.php (Arbitrary code execution) e PHP (unset() hash / index collision). Per il primo bug, molto grave, è sufficiente sovrascrivere l'installer.php contenuto nella 5.3 con quello esistente.

Per il secondo, che spesso non dipende dal webmaster, assicuratevi di avere una versione di PHP superiore o uguale alla 4.4.3 o 5.1.4.

Ci tengo a sottolineare che il secondo non è un bug di Drupal, ma Drupal è solo lo strumento con cui sfruttare un bug di PHP. Quindi non c'è cura, bisogna aggiornare il modulo PHP.

Per gli altri bug fixes, da non sottovalutare, è sufficiente sovrascrivere l'intera cartella modules (in realtà  i file fixati, per la versione 5.x, sono user.module, upload.module, system.module e comment.module) e l'intera cartella includes (i files fixati sono qui il solo common.inc). Ricordatevi anche l'install.php.

Per chi invece utilizza i due moduli Token e Pathauto, è uscito proprio il 17 ottobre (stesso giorno dell'aggiornamento a Drupal 5.3) un aggiornamento di sicurezza. Aggiornate all'ultima versione stabile i due moduli. Nessun aggiornamento del database è necessario.

Nel frattempo aspettiamo Drupal 6...