Version Dolibarr 18.0.8 LTS publiée

Bonjour,
l’équipe de maintenance « 18 LTS » est heureuse de vous faire part de la mise à disposition de dolibarr 18.0.8 suite au correctif d’une faille de sécurité (voir CVE 2024 40137).

Les fichiers sont dispo, la « release » sur github est pour l’instant en Draft (brouillon le temps que ça soit bien validé, ça fait partie des dernières « bricoles » sur lesquelles l’équipe LTS progresse) … que dire de plus ?

https://github.com/Dolibarr/dolibarr/releases/tag/untagged-b28dd8e502f8e688a23b

Les paquets sont dispo sur sourceforge Dolibarr ERP - CRM - Browse /Dolibarr ERP-CRM/18.0.8 at SourceForge.net et github …

5 « J'aime »

Bonjour,

renvoie une erreur 404

Hello,
merci pour le retour de tests :slight_smile: j’ai hésité à mettre le lien mais bon je voulais montrer qu’on avance aussi sur ce genre de points de version LTS en version LTS :slight_smile:

Probablement lié au fait que c’est un « Draft » qui doit être uniquement accessible à … je ne sais quelle catégorie: développeurs, mainteneurs, grand chefs, yoda only ?

Pour ma culture générale (bien que github ne soit pas dans mes priorités culturelles) ça serait intéressant de savoir qui a accès à ce draft ? si des développeurs ayant un compte actif lié au projet dolibarr passent par la : avez-vous accès à ce brouillon ou pas ?

Hello,

Amiral au niveau de Dolibarr, je vois aussi une 404.

ok si ça se trouve je suis seul à pouvoir lire « mon » brouillon :wink:

2 « J'aime »

Bravo et merci à l’équipe de maintenance pour cette version. Continuez comme ça ! :folded_hands:

1 « J'aime »

Bonsoir,
ça y est ! la release est publique : Release 18.0.8 · Dolibarr/dolibarr · GitHub

5 « J'aime »

Salut @erics
C’est une vieille CVE de 2024 pour risque de RCE ?
Tu est sûr de ta référence ?
@+

Hé bien … oui … et en plus le correctif a été super rapide pour arriver en 18.0 :frowning:

Je vais essayer d’apporter des éléments sans langue de bois ni autre objectif que d’être le plus transparent possible dans une optique d’amélioration globale des process.

Ce message est intéressant car il permet d’ouvrir un sujet concernant les aspects sécu … cette faille a été publiée le 24 juillet 2024 (Dolibarr ERP CRM vulnerable to remote code execution (RCE) · CVE-2024-40137 · GitHub Advisory Database · GitHub) mais je ne sais pas encore comment l’information est vraiment publiée, par exemple actuellement il semblerait qu’il y ait 2 CVE mais qui sont « masquées » ou incomplètes : CVEs/CVE-2024-44603/README.md at main · c0d3x27/CVEs · GitHub et CVEs/CVE-2024-53485/README.md at main · c0d3x27/CVEs · GitHub … donc je ne suis pas certain que la publication complète de la CVE-2024-40137 ait été réellement en 2024 …

Pour moi ces histoires de CVS sont encore assez « opaques » on dirait que le contenu d’une CVE est en accès restreint mais je ne sais pas qui ni comment on peut avoir accès à ces détails avant qu’ils ne soient rendus publics. Peut-être que @eldy pourra nous en dire plus.

Il y a quelque temps nous avions lancé l’envie de monter une « security task force » Security Task Force - Decidim pour Dolibarr … mais ça fait un truc de plus et les ressources humaines et en « temps dispo » ne sont pas aussi dynamiques qu’on le voudrait.

Pour en revenir à la CVE qui nous intéresse et qui a provoqué la publication de la version 18.0.8, au départ un énorme boulot correctif a été fait par Laurent pour corriger la faille le 17 juillet sans compter sans doute le boulot en amont pour cerner la faille et la comprendre.

Ensuite Thomas(easya/opendsi) a fait un gros boulot de rétroportage (backport) du correctif le 18 juillet c’est donc super rapide, on était proche du sans-faute. Bravo les gars :flexed_biceps:

Mais … :sloth: :desert_island:

Et c’est là que la suite a posé problème : les vacances ont eu malheureusement un impact important sur les délais concernant la release.

Ceci nous amènera probablement au prochain devcamp à souligner l’importance de voir des offres du genre « sponsoring » pour que des gens aient du temps payé pour faire de la maintenance … et d’avoir à terme une équipe assez large pour pouvoir couvrir même les périodes de congés des uns et des autres !

Juste pour info, nous sommes deux à avoir entrepris le chemin pour devenir « mainteneur » de la version 18 LTS : avec Lionel de easya/opendsi nous nous retrouvons toutes les semaines pour une heure de boulot ensemble. De mon côté ça représente 4h par mois si je devais payer un salarié (ingé) ça coûterait entre ~300€ et 500€/mois au prix « seuil de rentabilité ». Multipliez par deux et il faudrait ~1000€/mois pour couvrir les frais, à terme il faudrait être ~4 personnes pour faire ce boulot, je vous laisse faire la multiplication.

Et jeudi dernier quand nous avons lancé la release 18.0.8 j’ai terminé le soir vers 20h plus quelques bricoles les jours suivants (com, échanges de mails, documentation etc), grosso-modo j’ai cramé 8h à 10h de boulot d’un coup uniquement pour ça… durée pendant laquelle je n’ai donc pas pu gérer mes clients. C’est plus que du bénévolat : je ne fais pas ça sur mon temps « libre » hors heures de travail (comme je le fais en ce moment où j’écris ce message sur le forum à 23h).

Si ça vous intéresse, pour le détail du calcul j’ai pris le salaire moyen sur Salaire Ingénieur en Informatique - Salaire (2025) | Jobted puis j’ai été sur Simulateur de cotisations employeur - Urssaf.fr ou j’ai reporté ce salaire moyen dans la case net et ça m’a donné un montant « coût total employeur » de 115800€/an que j’ai ensuite divisé par le nombre d’heures travaillées par an (1607 h) trouvée sur Comprendre et calculer la durée du travail en France ça m’a donné ~72€/h, on ajoute ~30% de « marge » et on arrive pas loin des 100€/h.

Certes je pense que malheureusement peu d’entre nous sont payés à ce niveau-là mais c’est ce que nous devrions être payés. Voilà pour les digressions financières qui vont peut-être énerver quelques personnes sur le forum.

Au début j’ai proposé un vrai sponsoring de ce genre https://shop.cap-rel.fr/cat/product/SPONSORING-01 mais devant les retours de mes « clients » les plus motivés qui m’ont dit « mais on a quoi en échange ? jamais je vais pouvoir faire accepter ça à ma direction: donner des sous en échange de ‹ rien › » … alors j’ai modifié la description pour proposer ça Maintenance long terme de dolibarr 18 - CAP-REL … nous sommes encore très loin du seuil de rentabilité (5 abonnés chez nous, soit 50€/mois) !

Dernière remarque: la publication d’une nouvelle version frôle maintenant le « tout marche en suivant chaque étape une par une » ce qui est une énorme avancée depuis la publication de la 18.0.7 … j’ai presque envie de dire « vivement la 18.0.9 » pour qu’on puisse continuer à peaufiner la doc et qu’on apporte éventuellement les derniers correctifs aux outils de « build » …

Si vous avez des pistes / solutions / autres n’hésitez pas à vous manifester !

4 « J'aime »

@Philazerty (ou autres admins) je n’ai pas les droits pour créer un article dans la rubrique « annonces et actualités » … si tu peux y créer un message d’information ou y déplacer celui-ci ça serait super :+1:

Merci !

Hello
Bravo à la Team LTS. Pour compléter le discours sur l’aspect financier, effectivement le temps passé par Lionel est financé par Easya. C’est un salarié et je ne lui demande pas de faire ce travail en dehors de son temps de travail. Pour partager les « compteurs » temps, Lionel a passé 46h depuis le 10/10/2024 soit presque un an. On est en cohérence avec les 4h par mois de Eric (48h par an..).

Sur l’aspect financement, il est clair qu’en l’état, c’est CAP-REL et Opendsi qui finance cette LTS pour le bien de tous…

À organiser peut-être entre nous @erics la collecte de ces fonds (tu pourrais les centraliser pour faire simple), on affiche les montants collectés (et les noms des généreux donateurs qui le souhaitent) et l’utilisation qui en faite.

Je ne suis pas sûr que ce soit le rôle de l’asso. La notion de LTS n’étant même pas encore officielle au niveau du projet. Je rappelle que pour @eldy toutes les versions sont LTS (Droit de réponse de l’intéressé: La position est plus nuancée. "Tout dépend de ce qu’on met derrière LTS. Au sens juridique, engagement de responsabilité de maintien sur x ans, il n’y a pas actuellement version LTS, mais au sens production et maintient du code, il faut rappeler que toutes les versions et leur branche sont ouvertes à la communauté pour accueillir une maintenance sur le long terme, et que, si une version X reçoit des fixes de maintenance, les versions supérieures bénéficieront automatiquement du même niveau de fix, ces derniers étant remontés systématiquement dans toute version supérieur même sans le label LTS, ce qu’on a pas dans un produit standard LTS dont la caractéristique est que la remontée des fix de maintenance n’est plus assuré vers les versions intermédiaires, ce qui n’est pas le cas de Dolibarr qui assure toujours ces remontées. Plus d’info sur RoadMap — Dolibarr ERP CRM Wiki).

Un débat à avoir : LTS sur le plan technique versus LTS en tant qu’outil de gouvernance projet ce qui n’est pas du tout la même chose… Perso la LTS est un outil de gouvernance projet. Mais bon là je nous emmène peut-être loi :smiley:

2 « J'aime »

Un point crucial de la notion de « LTS » est l’engagement de responsabilité. La définition d’une « LTS x ans » est en général un terme signifiant qu’il y a « engagement à maintenir pendant x ans l’application » (en tout cas dans l’esprit des utilisateurs d’outils informatique). Il reste donc à définir qui s’engage à ces travaux pendant x ans, qui engage sa responsabilité sur cette affirmation de maintien de ces actions sur x ans, sachant que contributeurs et mergeurs en mode commuanutaire ne sont pas sous une hierarchier commune. A défaut d’un engagement de responsabilité d’une institution ou d’une autre (qu’on trouve plus généralement dans un cadre commercial), le terme « LTS communautaire » (sous entendu par une communauté, sans engagement) pourrait toujours être utilisé pour éviter toute mauvaise interprétation. A mettre en opposition avec le terme « LTS X ans societe Y » (comme le proposent les hébergeurs SaaS ou intégrateurs) et qui lui peut intégrer un engagement juridique sur cette durée.

1 « J'aime »

C’est fait ! Épinglé 15 jours
@+

1 « J'aime »

@eldy je crois que tu te fais toute une histoire: le code est sous GPL et le fait de mettre LTS à côté du numéro de version ne change pas la licence et n’ajoute pas de clauses de type contractuelle.

Pour rappel en entête de chaque fichier source de dolibarr

…/…
This program is distributed in the hope that it will be useful,
but WITHOUT ANY WARRANTY; without even the implied warranty of
MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
GNU General Public License for more details.
…/…

Je trouve pas mal la synthèse de wikipédia sur le sujet Long-term support — Wikipédia

Dans la liste des exemple ils parlent par exemple de Linux Mint qui m’intéresse beaucoup car elle s’approche de notre organisation : Mint n’a pas d’éditeur mais simplement une communauté, ça n’empêche pas Mint de proposer une version LTS.

Il me semble que dans ta vue de « LTS » tu te fais des obligations supplémentaires qui ne me semblent pas être évidentes pour tout le monde et ton message a l’énorme intérêt de poser la question plus clairement.

Je ne vois aucun problème à afficher « LTS Communautaire » si ça doit clarifier les choses et/ou te rassurer. Pour ma part je trouve même que c’est mieux qu’une « LTS société bidule » mais ça c’est lié à mes origines, je préfère le bazaar que la cathédrale (voir Eric S. Raymond La Cathédrale et le Bazar — Wikipédia pour comprendre ce que je veux dire par la).

Ça fait assez longtemps qu’on en parle publiquement sur le forum, nous (easya/open-dsi et cap-rel) en tant que membres de la communauté nous nous sommes engagés à tenter la 1ere expérience « LTS » de dolibarr, ie maintenir la 18.0 jusqu’en 2028 (je ne me souviens plus exactement du mois).

Et c’est bien en tant que membre de la communauté, c’est pas en tant que société x ou y.

Et de nombreux autres membres participent activement à cette LTS, toi le premier c’est clair et il n’y a qu’à voir les autres contributeurs qui proposent des PR sur la branche 18.0 … nous sommes nombreux à être persuadés qu’avec le temps les choses se précisent. En tout cas nous croisons de nombreux utilisateurs pour qui le « stress de la mise à jour dolibarr tous les … 1 ans / 1,5 an / 2 ans » est tombé et ça c’est à mon sens assez important pour continuer ainsi.

Nous avons aussi des échanges avec d’autres utilisateurs qui sont déjà passés sur une version > 18 et nous disent « aaaa si on avait su on serait restés sur la 18 pour être ‹ peinard › jusqu’en 2028 car nous n’avons pas besoin des nouvelles fonctionnalités de la version qu’on a » (je schématise, il est tard) et ils attendent avec impatience la prochaine LTS pour s’y raccrocher.

Ça n’empêchera pas la majorité des installations de se faire sur « la version la plus récente disponible », les gens qui se sentent concernés par la LTS ne sont pas la majorité, il ne faudrait pas non plus que mon message laisse sous entendre ça.

La ou je vois un « risque » pour la maintenance de la LTS c’est lorsqu’il y aura une 2° LTS: peut-être qu’à ce moment … comment dire … peut-être qu’on (la communauté) risque de relâcher un peu l’effort sur la « vieille » 18.0 LTS … y faire moins de PR peut-être ?

Mais d’expérience si je regarde ce qui se passe dans les autres projets ce n’est pas anormal non plus qu’il y ait cette impression : vu le temps passé la 18.0 sera vraiment tellement testée sous toutes les coutures qu’il ne devrait pas y avoir de gros « trucs » à corriger lorsque la 2° LTS sera là.

Les failles de sécurité demanderont un effort certain de maintenance mais ça risque de se limiter à ça.

Qu’en pensent les utilisateurs de dolibarr du forum ? c’est vraiment le moment de vous exprimer vous qui êtes sur le forum et en particulier celles & ceux qui trouvent qu’on ne vous implique pas assez (et que « tout » ce décide durant les devcamp entre « pref partners ») … allez hop c’est le moment de :writing_hand: :keyboard: !=)

2 « J'aime »

Bonjour,
Pour ma part, je remarque que chez Mint, toutes les versions sont estampillées LTS (ce qui rejoint le point de vue originel de @eldy ) : All versions - Linux Mint
Chez Ubuntu, on a apparemment une LTS toutes les 2 releases ce qui donne un aspect plus dynamique qu’une LTS dolibarr en v18 alors que la v23 va sortir.
Mais ce n’est que mon avis.
Bonne journée.

Hello
J’en remets une couche avec un troisième aspect (on a parlé technique, contractuel) de la LTS que j’ai évoqué et qui à mes yeux est presque le plus important : la gouvernance d’un projet Libre et l’intérêt de la LTS pour l’écosystème Dolibarr

  • Pour les intégrateurs :
    • Une base stable et sécurisée qui simplifie leur travail.
    • Moins de temps perdu à gérer des régressions ou des migrations trop fréquentes.
    • La possibilité de concentrer leur valeur ajoutée sur le « dernier kilomètre » : les 20 % de fonctionnalités spécifiques qui font la différence pour leurs clients.
  • Pour les utilisateurs Dolibarr :
    • Une gouvernance plus claire et plus rassurante pour les entreprises utilisatrices.
    • Une meilleure lisibilité du projet, facteur clé pour attirer de nouveaux contributeurs et de nouveaux utilisateurs.

L’existence ET la visibilité d’une version LTS communautaire au sein de Dolibarr n’est donc pas qu’une commodité technique. C’est une décision de gouvernance qui :

  • simplifie la vie des intégrateurs,
  • garantit la stabilité pour les clients finaux,
  • et permet à la communauté de concentrer son énergie là où elle a le plus d’impact collectif.

Hello

Je n’ai jamais été avare en post sur le fait de lancer une LTS et me semble qu’il reste une étape à franchir à savoir arrêter une version LTS pour passer à une autre (la 22, la 24?)

Je ne connais pas les volumétries des versions installées, est-ce que la LTS est plus présente que la 21 par exemple et si communiquer sur le fait que nous supportons encore la version LTS nous apporte plus de vente, de support …

Personnellement une personne qui viendrait aujour’d’hui me demander quelle version de Dolibarr installé, je ne me vois pas lui proposer une V18, sans doute plus une 21, voir une 22.0.1 histoire d’etre tranquille un certains temps (jusqu’a la sortie de la prochaine version estampillée LTS

Autre remarque importante à soulever à savoir les versions de Dolibarr supportés par les modules du Dolistore. Actuellement on donne une limite haute et basse, pour ma part la version basse c’est la LTS or cela sous-entend que le maintiens toute les versions entre la 22 Et la 18 ce qui n’est pas le cas de la 19 (bon c’est du pinaillage mais vous comprenez l’esprit de la chose).

Bonjour,
Pour un simple retour utilisateur :
Je tournais depuis très longtemps sur une v10 tunée avec les « mises à jour » compta jusqu’à v14, elle m’offrait pleine satisfaction. Sachant que je tourne sur un réseau local je n’ai pas trop à me préoccuper des mises à jour de sécu.
Quand nos amis ont sorti cette LTS je l’ai installée et j’en suis très content.Donc un grand merci à vous, je pense que cette initiative plaît à pas mal de monde et que c’est une très bonne idée. Je comprends les arguments des deux côtés et ils sont tous bons mais oui il y existe bien des utilisateurs qui ne sont pas dans la course à la dernière version mais qui veulent juste un Dolibarr qui tourne parfaitement sans avoir à passer du temps dessus ce qui s’avère être le cas d’une v10 qui aurait tourné jusqu’en 2025 et d’une v18 dont je suis presque assuré qu’elle sera mise à jour jusqu’en 2030. Je pense que certains d’entre vous sous estiment peut-être l’impact des mises à jour. Par exemple à partir de la v19 mes rapports personnalisés ne fonctionnent plus et il faudrait que je ressaisisse tout vu qu’il semble y avoir eu du changement de ce côté. Rien de grave mais ça peut être frustrant pour un utilisateur, une LTS permet d’évacuer cette problématique. Dans mon cas de figures spécifique il faudra bien traiter le pb à terme mais ça me laisse 5 ans pour étudiez la chose :wink:
En tous cas je vous remercie à nouveau chaleureusement pour le travail effectué, mon passage en v18 a été un vrai bonheur !

1 « J'aime »

Bonjour,
On va revenir sur le même point de discussion récurrent, la fréquence de sortie des nouvelles versions. Une LTS toutes les deux versions quand on sort une version par deux ans n’a pas les mêmes contraintes que lorsqu’il y a une nouvelle version tous les mois.
Avec une version tous les six mois chez Dolibarr, ça nous ferait une LTS tous les ans. La pauvre équipe qui gère la LTS a déjà du mal à trouver des bras volontaires, je les vois mal arriver à suivre… Ou alors à quel coût…

1 « J'aime »