Nouvelles

Synthèse des évolutions AzuraCast (0.23.4 → 0.23.9)

🚀 0.23.5

Cette version corrige des bugs mineurs et intègre une nouvelle version stable de Liquidsoap, le logiciel AutoDJ utilisé par les stations AzuraCast.

🔧 Qualité du code / Modifications techniques

  • Mise à jour vers la version stable 2.4.4 de Liquidsoap, qui corrige plusieurs problèmes de performance.
    Optimisation des index utilisés sur plusieurs tables de la base de données analytiques, améliorant considérablement leurs performances sur les stations gérant d’importants volumes de données.

⚙️ 0.23.6 (Correctifs de sécurité/de bogues)

👉 Cette mise à jour corrige plusieurs failles de sécurité signalées dans AzuraCast. La plupart de ces failles concernent uniquement les utilisateurs déjà connectés, leur permettant d’accéder à des fichiers ou des emplacements auxquels ils ne devraient normalement pas avoir accès. Si vous utilisez une installation multi-locataire d’AzuraCast, la mise à jour est fortement recommandée.

🐛 Bugs corrigés

  • Sécurité renforcée pour les chargements de médias locaux afin d’empêcher les accès non autorisés au répertoire multimédia de la station. Cette vulnérabilité affectait uniquement les utilisateurs déjà connectés et disposant des autorisations nécessaires, et empêchait les utilisateurs anonymes de charger des médias. GHSA-vp2f-cqqp-478j
  • Protection renforcée du point de terminaison de l’API interne Liquidsoap (feedback, djon/djoff, etc.). GHSA-4fm3-ggg2-c6qx
  • Contrôles de sécurité renforcés pour le point de terminaison de l’API de lecture du gestionnaire de médias. GHSA-qff7-q5fm-8p76
  • Fin de l’implémentation des chaînes brutes entièrement échappées dans la configuration Liquidsoap. GHSA-q4ph-8x8g-95f8
  • L’e-mail envoyé par la fonction « Réinitialiser le mot de passe » utilisera désormais systématiquement l’« URL de base » configurée dans les paramètres système, au lieu de l’« URL du navigateur préférée », afin d’éviter tout risque de sécurité. Il est impératif de toujours vérifier que l’« URL de base » est correctement configurée pour éviter de rediriger les utilisateurs vers une URL erronée. GHSA-gv7r-3mr9-h5x8

🛠 0.23.7

➡️ Nouveautés/Modifications

  • Liquidsoap 2.4.5 : Cette version inclut Liquidsoap 2.4.5, qui corrige plusieurs problèmes de consommation du processeur et de la mémoire vive survenant après une utilisation prolongée des stations. De nombreux utilisateurs d’AzuraCast ont probablement été affectés par ces bugs ; la mise à jour est donc fortement recommandée.

✅Qualité du code/Modifications techniques

  • Les pays et adresses IP autorisés/interdits s’appliquent désormais également au flux HLS diffusé par AzuraCast.
  • Lors de la configuration du fondu enchaîné intelligent, les utilisateurs avancés peuvent spécifier directement les seuils de décibels utilisés dans le calcul.

🚨Corrections de bugs

  • Correction d’un bug empêchant l’affichage des listes de lecture nouvellement ajoutées sur la page Gestionnaire de médias.
  • Correction d’une zone où il était possible d’inclure des chaînes de caractères arbitraires dans la configuration de Liquidsoap.

🔐 0.23.8 (IMPORTANT)

👉 Cette mise à jour est principalement axée sur l’amélioration de l’expérience utilisateur. Elle corrige plusieurs failles de sécurité identifiées par les chercheurs de la communauté et enrichit les outils mis à la disposition des administrateurs d’installations pour renforcer la sécurité de leurs systèmes.

🚨 Corrections de bugs

  • Correction d’un bug empêchant les utilisateurs de modifier leur mot de passe sur la page des comptes.
  • Correction d’un problème empêchant la lecture des flux radio proxy (ex. : /listen/station) par certains lecteurs en raison de l’utilisation de l’encodage par blocs.
  • Application d’un filtrage optionnel des URL utilisateur aux webhooks (génériques, Matomo et Discord), aux relais distants et aux listes de lecture d’URL distantes.
  • Ajout d’une vérification supplémentaire aux téléchargements de médias à la demande afin de garantir que seuls les médias présents dans les listes de lecture à la demande soient téléchargeables.

➡️ Nouvelles fonctionnalités/Modifications

  • Ajout d’une option système permettant de filtrer les URL fournies par les utilisateurs dans certains cas sensibles. Dans certains cas (notamment pour les webhooks et les relais distants), les administrateurs de station peuvent saisir une URL qui déclenchera des requêtes HTTP sortantes depuis votre installation. Les installations mutualisées et les revendeurs doivent activer ce paramètre afin d’empêcher toute exfiltration de données locales concernant votre infrastructure d’hébergement. Si vous exécutez une station locale mono-installation, vous pouvez généralement laisser ce paramètre désactivé, ce qui vous permettra d’utiliser les services locaux pour ces éléments.
  • Ajout d’une option système permettant d’activer ou de désactiver les webhooks sur toutes les stations. Les webhooks envoyant une requête HTTP POST sortante depuis votre installation AzuraCast, cela peut représenter un risque pour la sécurité de votre infrastructure. Vous pouvez donc les désactiver complètement par mesure de sécurité.

🔐 0.23.9

Cette mise à jour a pour seul but de mettre à jour nos conteneurs Docker distribués vers une version plus récente de PHP qui corrige des failles de sécurité critiques récemment publiées.

Elle n’introduit aucune nouvelle fonctionnalité et ne nécessite aucune étape supplémentaire pour la migration.

Tous les utilisateurs d’AzuraCast sont fortement invités à effectuer la mise à jour vers cette version s’ils utilisent une version antérieure.

Tags:

Laisser un commentaire