OpenPNE開発チームの今村です。

IPアドレス帯域リストの対応バージョンについて変更いたしましたのでお知らせします。
これまでOpenPNE2.10以降の安定版全てに対して対応して来ましたが、今後は最新の安定版と旧安定版のみ対応します。

変更内容

■変更前

→ OpenPNE2 の 2.10系から2.14系、OpenPNE3 の 3.0系 から 3.8系 まで全てのバージョン

■変更後

→最新の安定版と旧安定版のみ（2013年10月現在ではOpenPNE3.8系と3.6系が対象となります）

この変更は次回の携帯IP帯域リストの更新が発生した時から適応致します。
3.4系以下（2系も含む）のOpenPNEをお使いの管理者の方は、今後のIP帯域リスト更新の告知を確認し、ご自分でIPリストの更新をお願い致します。

OpenPNE 開発チームの今村です。

本日、OpenPNE 3.6.12 をリリースしました。
今回のリリースではOpenPNEに同梱されているユニットテスト、機能テストの正常化を行っています。テスト結果が出力される前に異常終了していたテストは全て修正され、結果が出力されるようになりました。

今回のリリースはあくまでもテストが異常終了せずに実行できるようにする修正のみとなっています。依然としてテスト結果NGのテストは残っていますが、今後のリリースでテスト項目についての修正を進めていく予定です。

次回のOpenPNE3.6系のリリースは 2013年12月12日(木) を予定しています。

不具合、何か気づいた点などあれば公式 SNS や redmine.openpne.jp などで報告していただければと思います。

リリース情報などの情報は pnetan が Twitter でよくつぶやいていますので
是非フォローしてみてください。
pnetan 公式アカウント

続きを読む

OpenPNE開発チームの今村です。

OpenPNEに脆弱性が発生した場合のメンテナンス対応バージョンについて、変更しましたのでお知らせします。
現在の「過去の安定版のバージョンにもさかのぼって対応する」から、基本的に「開発版、新安定版、旧安定版に対してのみ対応する」ことにします。

OpenPNEプロジェクトではセキュリティ脆弱性の悪用の危険を考慮し、過去のバージョンにもさかのぼって対応するポリシーをとっていました。
現在、過去のバージョンにさかのぼって対応するにはリソースが足りません。対応バージョンを限定し、OpenPNEの新機能開発、バグ修正にリソースを集中します。

脆弱性のメンテナンス対応バージョンの変更内容

変更前

過去の安定版のバージョンにもさかのぼって対応する

変更後

脆弱性のメンテナンス対応範囲は開発版、新安定版、旧安定版に対して行う
ただし、重大なセキュリティ問題だと判断した場合は、対応バージョンの検討を行う

現在の安定版について

2013年10月 現在、新安定版はOpenPNE3.8系、旧安定版はOpenPNE3.6系です。
旧バージョンのOpenPNE2系、OpenPNE3.0系から3.4系のOpenPNEはサポートを終了しています。
これらの旧バージョンには基本的には脆弱性の対応は行いません。
サポート中の安定版へアップグレードするか、ご自身でソースの変更を行ってください。

脆弱性のメンテナンス対応バージョンの変更はOpenPNE3.8.9のリリース（2013/11/14）から適用していきます。
脆弱性以外のメンテナンスポリシーも含め、リリースポリシーをまとめたものは追って作成致します。

OpenPNE 開発チームの今村です。

本日、OpenPNE 3.8.8 をリリースしました。
本リリースでは、アクティビティの画像投稿に関する機能改善を行っております。
アクティビティへの画像の複数枚投稿がJSON APIから可能になっています。

次回、OpenPNE3.8.9のリリースは 2013年11月14日(木) を予定しています。

不具合、何か気づいた点などあれば公式 SNS や redmine.openpne.jp などで報告していただければと思います。

リリース情報などの情報は pnetan が Twitter でよくつぶやいていますので
是非フォローしてみてください。
pnetan 公式アカウント

続きを読む

OpenPNE 開発チームの今村です。

OpenPNE 3.8.8 のリリース延期についてのお知らせです。
本日2013年9月12日(木) のリリースを予定していましたが、
1週間後の 2013/9/19 (木)にリリース日を延期致します。
今バージョンで修正対応予定の機能にて、追加で修正が必要であると判断したためです。

リリースをお待ちいただいいている皆様にはご迷惑をおかけしますが、
何卒ご理解いただきますよう、よろしくお願いいたします。

すべてのバージョンの OpenPNE 3 および opOpenSocialPlugin、 opWebAPIPlugin には、 XML 外部実体参照に関する脆弱性が存在します。この脆弱性をインターネット上の第三者に悪用されることで、たとえば、サーバ上の情報の漏洩や、サーバのリソースを過度に消費される可能性があります。

本日 (09/10)、この問題の対策版リリースをおこないましたので、内容を確認のうえバージョンアップまたはパッチの適用を、どちらも難しい場合は回避策の実施をお願いいたします。

本問題について

影響を受けるシステム

※以下に示す条件を満たしていたとしても、「PHP が依存する libxml2 のバージョンが 2.9.0 以上である場合」は本脆弱性の影響を受けないため、対応の必要はありません。お使いの PHP がどのバージョンの libxml2 に依存しているかどうかは、 phpinfo() の情報から確認することができます。

以下のバージョンの OpenPNE を使用しているすべてのサイト

• OpenPNE 3.8.7
• OpenPNE 3.6.11
• OpenPNE 3.4.21.1
• OpenPNE 3.2.7.6
• OpenPNE 3.0.8.5

以下のバージョンの opOpenSocialPlugin を使用しているすべてのサイト

• opOpenSocialPlugin 1.2.6
• opOpenSocialPlugin 0.9.13
• opOpenSocialPlugin 0.9.9.2
• opOpenSocialPlugin 0.8.2.2

以下のバージョンの opWebAPIPlugin を使用しているすべてのサイト

• opWebAPIPlugin 0.5.1
• opWebAPIPlugin 0.4.0
• opWebAPIPlugin 0.1.0

脆弱性の説明

XML パーサに存在する XML 外部実体参照の機能を悪用し、特定の形式の XML を OpenPNE やバンドルプラグインに読み込ませることで、サーバ上の情報の漏洩、サーバのリソースの過度な消費などの問題を引き起こされる可能性があります。

脆弱性の生じる機能は以下に示すとおりです。

• OpenPNE 3 の複数の XML パース部分に存在する XXE 脆弱性 (CVE-2013-4333)
  • OpenPNE プラグインセットアップ関連機能
  • opAuthOpenIDPlugin による OpenID 関連機能
    ※OpenPNE 3 コアに同梱された PHP OpenID Library の脆弱性 が原因であるため、 opAuthOpenIDPlugin に対する修正ではなく、 OpenPNE 3 コアに対する修正が必要となります
• opWebAPIPlugin による HTTP リクエスト処理部分に存在する XXE 脆弱性 (CVE-2013-4334)
• opOpenSocialPlugin による OpenSocial 関連機能に存在する XXE 脆弱性 (CVE-2013-4335)

対策方法・回避方法

ソースコード上での対応方法については、本エントリの「本問題への対応方法」をご覧ください。

libxml2 側での対応方法

PHP の依存する libxml2 を 2.9.0 以上のものに置き換えることで、本問題への対策となります。

この作業が難しい場合は、後述する「ソースコード上での対方法」もしくは「回避方法」の手順を実施してください。

回避方法

後述の根本対応がすぐにおこなえない場合、以下のすべての対策を実施してください。

• opWebAPIPlugin を無効にする
• opOpenSocialPlugin を無効にする
• opAuthOpenIDPlugin を無効にする
• 信頼できないプラグインをインストールしない (ただし、これは本脆弱性の有無にかかわらずもともと必須です)

本問題への対応方法

「影響をうけるシステム」で示した条件を満たすすべてのサイトは、以下の対応を実施してください。

OpenPNE 3

対策版へのマイナーバージョンアップもしくは修正パッチの適用を実施してください。

OpenPNE 3.8.7.1

[.zip 版ダウンロード] [修正パッチ]

OpenPNE 3.6.11.1

[.zip 版ダウンロード] [修正パッチ]

OpenPNE 3.4.21.2

[.zip 版ダウンロード] [修正パッチ]

OpenPNE 3.2.7.7

[.zip 版ダウンロード] [修正パッチ]

OpenPNE 3.0.8.6

[.zip 版ダウンロード] [修正パッチ]

マイナーバージョンアップ手順

パッケージに同梱されているバージョンアップ手順書に記載されている通りに作業を実施してください。

各バージョンのマイナーバージョンアップ手順書は以下からも確認することができます。

• OpenPNE 3.8.7.1 バージョンアップ手順書
• OpenPNE 3.6.11.1 バージョンアップ手順書
• OpenPNE 3.4.21.2 バージョンアップ手順書
• OpenPNE 3.2.7.7 バージョンアップ手順書
• OpenPNE 3.0.8.6 バージョンアップ手順書

パッチ適用手順

1. OpenPNEを設置しているディレクトリにパッチファイルをアップロードします
2. SSHでログインし、1 のディレクトリに移動します
3. 以下のコマンドを実行します

$ patch -p1 < パッチファイル名

4. 以下のコマンドを実行します

$ ./symfony openpne:migrate

OpenPNE プラグイン

OpenPNE 3 本体のマイナーバージョンアップをおこなうと opWebAPIPlugin や opOpenSocialPlugin のバージョンアップも自動的におこなわれます。

そのため、バンドルプラグインについては個別にバージョンアップする必要はありません。

バンドルされていないバージョンを利用しているなどの理由により、自動的にバージョンアップがおこなわれない場合、プラグインのリリース情報を参考に更新をおこなってください。

opWebAPIPlugin

opWebAPIPlugin-0.5.1.1

opWebAPIPlugin-0.4.0.1

opWebAPIPlugin-0.1.0.1

opOpenSocialPlugin

opOpenSocialPlugin-1.2.6.1

opOpenSocialPlugin-0.9.13.1

opOpenSocialPlugin-0.9.9.3

opOpenSocialPlugin-0.8.2.3

謝辞

本脆弱性は、海老原昂輔 (co3k) 氏よりご報告いただきました。厚く御礼申し上げます。

なお、 海老原氏によれば、本件のような XML パース処理に関わる脆弱性の概要やプログラム側での対応方法について、 PHP カンファレンス 2013 にて講演する予定とのこと です。

セキュリティ上の問題の報告手順について

OpenPNE プロジェクトでは、以下に案内している通り、セキュリティ上の問題の報告を受け付ける窓口 ([email protected]) を用意しています。

https://redmine.openpne.jp/projects/op3/wiki/How_To_Report_Issue_%28ja%29#%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E4%B8%8A%E3%81%AE%E5%95%8F%E9%A1%8C%E3%82%92%E5%A0%B1%E5%91%8A%E3%81%99%E3%82%8B

セキュリティ上の問題を発見した場合は、通常の公開されたバグ報告の手順を踏むのではなく、 [email protected] に連絡してください。 [email protected] はクローズドなメーリングリストであり、このメーリングリストでおこなわれた脆弱性の詳細情報などのやり取りがそのまま公開されることはありません。

OpenPNE開発チームの 今村 です。

本日 2013/09/02、OpenPNEのIPアドレス帯域リストの更新をおこないました。
今回の変更は auのIPアドレス帯域の追加と削除に伴うものです。
OpenPNEの携帯版を利用している方はSNSに反映をお願いします。

更新内容の詳細

https://redmine.openpne.jp/versions/305
こちらのページにて更新内容が確認できます。

ダウンロード

https://www.openpne.jp/pne-downloads/mobile_ip_list/
こちらのページから各バージョンのIPアドレス帯域リストをダウンロードできます。

IPアドレス帯域リストの更新方法

OpenPNE3

OpenPNEのパッケージ内にある以下のファイルを、ダウンロードしたIPアドレス帯域リストに置き換えてください。

lib/config/config/mobile_ip_address.yml

OpenPNE2

OpenPNEのパッケージ内にある以下のファイルを、ダウンロードしたIPアドレス帯域リストに置き換えてください。

webapp/lib/ktaiIP.php

OpenPNE 開発チームの今村です。

本日、OpenPNE 3.6.11 をリリースしました。
本リリースでは、不要なデータが残り続ける不具合の修正を行なっています。

今回の修正も77webさんからのプルリクエストで頂いたものです。
プルリクエストありがとうございます。
バグ報告は公式SNSより頂きました。
consさん、バグ報告ありがとうございました！

OpenPNEプロジェクトでは、皆様からのよう要望やバグ報告、プルリクエストを率先して取り込みます！

次回のリリースは 2013年10月10日(木) を予定しています。

不具合、何か気づいた点などあれば公式 SNS や redmine.openpne.jp などで報告していただければと思います。

リリース情報などの情報は pnetan が Twitter でよくつぶやいていますので
是非フォローしてみてください。
pnetan 公式アカウント

続きを読む

OpenPNE開発チームの今村です。
本日、7/31（水）に公式SNSをリニューアルいたしました。
OpenPNEユーザーの皆さんが気軽にコミュニケーションができるQ&Aサイトとして生まれ変わりました。
Facebook、Google、Twitterのアカウントで登録ができますので、皆さんどしどし登録をおねがいします。

OpenPNE 開発チームの中島です。

先日のブログで宣言したとおり、OpenPNE3.8系スマートフォン対応状況を案内します。

第1弾にあたる今回は、OpenPNE3.8系スマートフォン対応状況を以下の表に一覧化しました。
スマホ対応状況が「○」となってる機能は、3.8をご利用中の方はプラグインを対象バージョンにアップデートすることで、スマートフォン版が使用可能となります。

※スマホ対応優先順位が高いものから、上から順番に並べています。
※opMessagePluginのスマートフォン版は開発中です。
※opDiaryPlugin 1.5.0 とopCommunityTopicPlugin 1.1.1 は開発版ですので、使用の際はご注意ください。

次回は、opDiaryPlugin を、スマートフォン画面の説明を含めて紹介することを予定しています。

以上です。