De nouvelles versions de MapServer ont récemment vu le jour : la 5.6.4 suivie de la 5.6.5 et la 4.10.6. Les sources des versions précédentes ont également été patchées.
Ces nouvelles versions n’apportent aucune nouvelle fonctionnalités, mais n’en sont pas moins importantes car elles corrigent des failles de sécurité. En effet comme le souligne Daniel Morissette, l’augmentation du nombre de déploiements de MapServer a fait que de plus en plus d’organismes effectuent des audit du code source. Cela est rendu possible par la nature OpenSource de MapServer, et le dépôt subversion public. Et de fait cela conduit à une amélioration de la qualité du produit, car ici ces audits ont permis d’identifier des failles potentielles dans l’interface CGI de MapServer.
Sans rentrer dans les détails, ces failles étaient causées par la possibilité de passer des arguments de ligne de commande au programme CGI de MapServer. Les arguments qui pouvaient être donnés pour du Debug de développement étaient susceptibles de poser des problèmes de sécurité. Ils ont donc été désactivés, à part quelques options sans risque comme -v. Une faille de type «buffer overflow» a aussi été découverte et corrigée.
Ces corrections n’affectent pas les fonctionnalités et ne devraient avoir aucun impact négatif pour les utilisateurs de MapServer. Seuls les développeurs pourraient être impactés.
D’autres informations plus génériques ont aussi été tirées de cet audit, qui devraient profiter à la sécurité et la robustesse générale du futur MapServer 6.0.
La version 5.6.5 corrige elle un bug sur le calcul d’échelle qui provoquait un mauvais fonctionnement de MINSCALE/MAXSCALE.
Vous pouvez télécharger les nouvelles versions et les installer :
http://mapserver.org/download.html#binaries
A noter que les paquets Debian et Ubuntu devraient désormais être à jour (vérifiez tout de même que vous avez bien mis la liste des paquets à jour et que les numéros de version correspondent).
La liste complète des changement est accessible à l’adresse suivante :
http://lists.osgeo.org/pipermail/mapserver-users/2010-July/066052.html
et
http://lists.osgeo.org/pipermail/mapserver-users/2010-July/066134.html
EDIT : ajout de la sortie de la 5.6.5. Merci à Daniel Morissette pour le commentaire judicieux.
