Software-update: Drupal 7.72 / 8.8.8 /8.9.1 / 9.0.1

Er zijn updates voor versies 7, 8.8, 8.9 en 9.0 van Drupal uitgekomen om een als kritiek aangemerkt beveiligingsprobleem te verhelpen. Drupal is een in php geschreven, gebruiksvriendelijk en krachtig contentmanagementplatform, waarmee bijvoorbeeld websites kunnen worden gemaakt. Het is eenvoudig genoeg voor een beginnende gebruiker, maar krachtig genoeg om ook een wat complexere website te bouwen. Het programma bevat een contentmanagementplatform en een developmentframework. Informatie over het beveiligingsprobleem kan hieronder worden gevonden.

Drupal core - Critical - Cross Site Request Forgery - SA-CORE-2020-004

Project: Drupal core
Date: 2020-June-17
Security risk: Critical 15∕25 AC:Complex/A:None/CI:Some/II:Some/E:Theoretical/TD:All
Vulnerability: Cross Site Request Forgery
CVE IDs: CVE-2020-13663
Description: The Drupal core Form API does not properly handle certain form input from cross-site requests, which can lead to other vulnerabilities.

Solution:

• If you are using Drupal 7.x, upgrade to Drupal 7.72.
• If you are using Drupal 8.8.x, upgrade to Drupal 8.8.8.
• If you are using Drupal 8.9.x, upgrade to Drupal 8.9.1.
• If you are using Drupal 9.0.x, upgrade to Drupal 9.0.1.

Versions of Drupal 8 prior to 8.8.x are end-of-life and do not receive security coverage. Sites on 8.7.x or earlier should update to 8.8.8.

Versienummer	7.72 / 8.8.8 /8.9.1 / 9.0.1
Releasestatus	Final
Besturingssystemen	Windows 7
Website	Drupal
Download	https://ftp.drupal.org/files/projects/drupal-9.0.1.tar.gz
Licentietype	GPL

Reacties (15)

[rjdevries]

Jammer om te zien dat er nog steeds zoveel versies worden onderhouden. Blijkbaar nog altijd aardig wat compatibiliteitsproblemen.

[EngelbertDubois]

8.8, 8.9 en 9.0 zijn zo goed als dezelfde codebase. Dit is ook de update policy van Drupal. En werkt eerlijk gezegd goed!

[blinchik]

Onze bedrijfsite is gemaakt in Drupal, voorlopig nog in versie 7. Upgraden van 7 naar 8 is dan ook niet zo eenvoudig.

Een groot gemis bij Drupal t.o.v. Wordpress vind ik dat er geen auto updates bestaan. Vermits in een wereld van 0-day exploits time to patch heel belangrijk is, zou ik persoonlijk niet heel snel voor Drupal kiezen. Er blijkt nu wel een module te bestaan "Automatic Updates" die echter nog niet in core zit. Ik begrijp niet dat zo'n belangrijke functie zo lang op zich laat wachten of ook niet standaard in een nieuwe major is geimplementeerd, maar goed - hopelijk wordt dit een functie die in de nabije toekomst mainstream wordt.

[[Yellow]]

Wat Drupal op voorsprong zette t.o.v. Wordpress was de beveiliging. Gezien de vele, vele XSS problemen van de laatste jaren denk ik dat ze die voorsprong voorgoed kwijt zijn helaas. De keren dat ik 'onmiddelijk' moest updaten omdat een exploit actief misbruikt werd is niet meer op een hand te tellen.
En als je naar de wijzigingen kijk (meer scrubben van input) doet vermoeden dat er nog vele andere onontdekte gaten in ztten.
Wie weet er een snelle manier om naar Django-CMS te gaan?

[dsmink]

Zou dat niet ook komen omdat ze nu gebruik maken van 3rd party packages (Symfony etc.) uit de open source community waar deze security issues sneller bekend zijn? Wat mijn inziens dan ook weer een positief effect heeft, want je bent sneller op de hoogte en met Composer ook sneller weer up to date.

[MaartenPol]

Bij de introductie van versie 8 is er nogal wat veranderd ten opzichte van 7. Website konden niet zo 1,2,3 overgezet worden. Drupal 7 heeft nog ondersteuning tot november 2021. Genoeg tijd om over te gaan naar 9. Er worden echter al lang geen nieuwe dingen aan toegevoegd.

Versie 9.0 is tegelijk uitgebracht met 8.9 (begin deze maand) met het verschil dat bij 9.0 oude dependencies weg zijn gelaten. De verschillen zijn dus niet heel groot. Mits de modules bijgewerkt voor 9.0 zijn, kun je vrij probleemloos over. Ook versie 8 gaat in november 2021 uit de support. 8.8 zal nog ondersteund zijn omdat 8.9 er nog maar net is.

[Reactie gewijzigd door MaartenPol op 23 juli 2024 02:39]

[Power2All]

Het grote verschil zit hem eigenlijk in dat Drupal gekozen heeft om met het Symfony framework te werken.
Laravel is ook compatible met Drupal, maar de oude Drupal 7 en ouder hebben een eigen framework wat niet compatible is met Drupal 8 en 9, zodoende.

[brabbelaar]

Jammer om te zien dat er nog steeds zoveel versies worden onderhouden. Blijkbaar nog altijd aardig wat compatibiliteitsproblemen.

Nou ja, neem dan Wordpress. Weinig versies, voortdurend compatibiliteitsproblemen doordat veelgebruikte plugins niet compatible zijn met de volgende minor version. Ik vind dat best dramatisch. Drupal heeft dat veel beter geregeld. Alle 7.x zijn compatible met alle plugins die voor Drupal 7 zijn gemaakt. Ondersteuningstermijn is lang van tevoren bekend.

Er zijn altijd 2 versies oondersteund. Nu even 3, maar 8 en 9 zijn nog praktisch dezelfde.

[SvenHe]

Hoe zit dat nou met die twee versies van 8? Wat is daar de reden van?

[daften]

Dat zit allemaal vervat in de update policy.
Binnen 8.x werden telkens 2 branches ondersteund: de laatste 8.x branch voor bugfixes en security (nu 8.9) en de voorlaatste branch voor security updates. Dit omdat de laatste branch normaal nieuwe features bevat, en die bugs kunnen bevatten en zo niemand verplicht werd om direct naar de laatste minor versie te updaten om ook security support te hebben. Zo is er nu een periode van 6 maanden nadat een nieuwe minor versie uitkwam, dat je naar die versie kan updaten, maar je kan ook op de oude versie blijven en enkel de security updates uitvoeren.

Nu is drupal 9 uitgebracht, dit houdt eigenlijk in dat symfony geupgrade is naar 4.4 en alle deprecated code weggehaald is. Omdat je natuurlijk niet onmiddellijk kan updaten, niet alle contrib modules zullen onmiddellijk mee zijn, wordt 8.x nog ondersteund, en daarbinnen blijft de update policy geldig.

Daarnaast is 8.9.x een LTS versie. Drupal ondersteund normaal altijd nog de voorlaatste major versie een heel eind om iedereen de kans te geven degelijk te updaten

Beantwoordt dit de vraag?

[SvenHe]

Ja, dank!

[strompf]

In 2009 ben ik overgestapt van osCommerce (dat toen al ver over de houdsbaarheidsdatum was) naar Drupal 5. In de jaren daarop ben ik doorgestroomd naar Drupal 6 en Drupal 7.

Drupal 6 beviel me goed. Drupal 7 vond ik daarintegen erg lastig om mee te werken (vooral Drupal Commerce, met z'n twee soorten van representatie van producten). Bij de komst van Drupal 8, begon ik me af te vragen of Drupal nog wel voor mij geschikt was: http://wiki.devliegendebr...rkbaar.3F_.28Aug._2017.29

Kort daarna had ik een groot project voor een klant tav. onderhoud van een Drupal 7-webwinkel. Toen ik de site had opgeleverd, bleek de klant al de opdracht te hebben gegeven aan een andere partij, om de hele site opnieuw te bouwen met WordPress, omdat ze Drupal te ingewikkeld vonden - Toen ben ik overgestapt op WordPress.

Regelmatig check ik met Google Trends de populariteit van de verschillende CMS'en, en ik zie dat Drupal een langzame dood aan het sterven is. Ik vind het eindeloos fascinerend dat er desalniettemin nog veel bedrijven en individuen zijn, die zweren bij Drupal. Ik weet dat ik niet de wijsheid in pacht heb, maar ik kan me gewoon geen enkel scenario voorstellen, waarin Drupal de oplossing zou zijn.

[quannah]

Voor complexe websites biedt Drupal nog steeds veel meer mogelijkheden dan WordPress.

[Mar2zz]

Ik heb het idee dat dit langzame uitsterven samengaat met de verminderende populariteit van PHP en/of het scheiden van backend en front-end. Je ziet ook bij de drupal organisatie een move naar headless drupal.

[strompf]

Ik herken wat je zegt over PHP. Als ik nu een nieuw systeem zou kiezen voor het bouwen van websites, zou dat een Python-framework zijn. Drupal was nogal ambitieus dat ze steeds meer richting grote en complexe projecten gingen, maar het feit dat het in PHP is geschreven, maakt dat volgens mij vrij zinloos.