OpenPNE 開発チームの卜部です。

本日、安定版 OpenPNE 3.4.10 をリリースしました。
前回11月のリリースから大変長らくお待たせいたしました！

バージョンアップ・インストール

ダウンロード

OpenPNE 3.4.10(zipアーカイブ) は以下のボタンからダウンロードできます。

• zip版ダウンロード

パッケージの詳細はこちらになります。
OpenPNE 3.4.10

インストール

OpenPNE 3.4.10 のインストールは、OpenPNE3.4 セットアップ手順 を確認ください。

3.2.x から 3.4 へのアップグレード、3.4 の以前のバージョンからのマイナーバージョンアップを行う場合は、このドキュメントを参考ください。

また、3.4.9 以前または 3.2.7.2 以前を利用の場合は、【緊急リリース】OpenPNE 3 に存在するセッション管理の不備に関する複数の脆弱性のお知らせ の内容を確認後、手順書の $ ./symfony openpne:migrate の操作の後に以下のコマンドを付け加えてください。

$ ./symfony openpne:migrate
// 以下の操作を追加する
$ ./symfony openpne:fix-session-db

続きを読む

OpenPNE開発チームの卜部です

長らくお待たせいたしました。

OpenPNE3.4.10 のリリース日について、スケジュールの目処がたちましたので告知いたします。
OpenPNE3.4.10 は 2011年3月17日(木)にリリースいたします。

対応項目は下記を予定しています。

OpenPNE 3.4.10 ロードマップ

よろしくお願いします！

今村です。

本日、2011/2/16(水)、安定版 OpenPNE2.14.9をリリースしました。
このバージョンをもって手嶋屋はOpenPNE2のリードメンテナから離れ、重要な修正を除き今後のリリースはおこないません。

OpenPNE2は有志の方々を中心にコミュニティベースでメンテナンスをしていこうという議論が公式SNSで起きています。
詳しくはこのエントリ後半の「今後のOpenPNE2について」をご覧ください。

続きを読む

OpenPNE開発チームのきわです。

本日 2011/2/10、SoftBank のIPアドレス帯域削除にともなってOpenPNEのIPアドレス帯域リストを更新しました。
OpenPNEの携帯版を利用している方はSNSに反映お願いします。

ダウンロード

https://www.openpne.jp/pne-downloads/mobile_ip_list/
こちらのページから各バージョンのIPアドレス帯域リストをDLできます。

IPアドレス帯域リストの更新方法

OpenPNE3

OpenPNEのパッケージ内にある以下のファイルを、ダウンロードしたIPアドレス帯域リストに置き換えてください。

lib/config/config/mobile_ip_address.yml

OpenPNE2

OpenPNEのパッケージ内にある以下のファイルを、ダウンロードしたIPアドレス帯域リストに置き換えてください。

webapp/lib/ktaiIP.php

次回の更新

次回のリリースは2011/6/24(金) を予定しています。

2011/06/24

docomo (2011年7月予定)IPアドレス帯域追加対応 リリース

今村です。

OpenPNE2.14.9のリリース日について、スケジュールの目処がたちましたので告知いたします。
最終バージョンとなるOpenPNE2.14.9は2011年2月16日(水)にリリースいたします。

対応項目は下記を予定しています。

OpenPNE 2.14.9 修正予定バグ

告知が遅くなりご迷惑をおかけしましたが、よろしくお願い致します。

手嶋屋インターンの小川純平です。

OpenPNE 2 が Microsoft Web Platform Installer (WebPI) を用いて、Windows 系 OS (XP、Vista、7 や、Server 2003、2008 など) 上に、簡単にインストールできるようになりました。

Web Platform Installer とは?

Windows 上に自動的にサーバ (IIS) 及び Web アプリケーション実行環境 (PHP、ASP.NET、MySQL など) を構築し、そのサーバ上に様々な Web アプリケーション (OpenPNE の他、WordPress、Joomla!、Drupal など) を自動的にインストール・設定するためのツールです。
Windows 7 などにインストールし、テスト環境として様々な Web アプリケーションを試してみることも出来ますし、Windows Server 上で用いて、実運用を行うことも出来ます。クライアント OS で用いる場合は、WebMatrix を用いてサイトの管理を行うことも出来ます。

(但し、OpenPNE 2 に限って言えば、OpenPNE 2 は Linux と Apache を主なサポート対象としてきたため、Windows 上での動作については十分に確認されていません。そのため、現状では Windows Server 上での実運用については推奨しません。)

普通の OpenPNE 2 とは何が違うのか

従来の手動インストール時に必要であった、Apache (WebPI の場合は IIS) や PHP などのインストール及び環境設定から、パーミッションの調整、DB 関係の設定などまで、一切は WebPI 側で自動的に行われます。config.php の設定も GUI で行うことが出来ます。他に必要な設定は、ブラウザ画面から SNS 名などを設定するだけです。

インストール方法

追記: Microsoft の方々が既に gihyo.jp にちゃんとしたものを書いてくださっていたみたいです。

http://gihyo.jp/design/serial/01/webpi/0008

WebPI のダウンロードページの Download ボタンを押し、wpilauncher.exe を保存します。
このファイルを管理者権限で実行すると、自動的にインストーラが起動し、インストールが終了すると自動的に WebPI 本体が起動します。

下の方にある “オプション” をクリックします。

「どの Web サーバを使用しますか」で、クライアント OS にインストールしてテスト環境として用いる場合は IIS Express を、Windows Server にインストールして本番環境で運用する場合は IIS を選択して下さい。IIS Express というのは、開発用 IIS です。

オプション画面を “OK” を押して閉じたら、右上の検索窓に “openpne” と入力し、エンターキーを押します。

“OpenPNE 日本語版パッケージ” が表示されますので、これを “追加” します。

インストールされるパッケージの確認を求められますので、”同意する” を押してください。IIS や MySQL など、必要なソフトウェアが芋づる式にインストールされます。

ファイルのダウンロードと、IIS などのインストールを行っています。しばらくお待ち下さい…。

完了すると、今度は OpenPNE 2 の設定を行います。画像を参考に、設定項目を埋めていって下さい。(ここに関しては、後程説明を書き加えます。)

“新しいデータベースの作成または既存のデータベースの使用” では、必ず “新しいデータベースの作成” を選択して下さい。(申し訳ないのですが、既存のデータベースの仕様には、時間的な都合で対応しておりません)

データベース管理者には、デフォルトのまま “root” としておいて下さい。

“データベース管理者のパスワード” は、予め MySQL で root ユーザのパスワードを設定しておき、そのパスワードを入力して下さい。

“データベースユーザ名” は、OpenPNE のデータベースのユーザ名です。ここで新規にユーザを作成します。英字であれば何でも構いません。デフォルトの openpne_user のままで良いでしょう。

“データベースパスワード” には、OpenPNE データベースのパスワードを決めて、入力して下さい。”確認” に同じパスワードを入力します。

“データベースサーバー” は、PC 上でテスト用途として使う場合は、”localhost” と入力して下さい。サーバーマシンで用いる場合は、サーバー名を入力して下さい。(例えば sns.openpne.jp など)

“データベース名” も、英字から成る文字列であれば何でも構いませんが、必要がなければデフォルトのまま openpne で良いでしょう。

“データベース暗号化キー” には、適当な英数文字列を入力します。56バイト以内 (つまり56文字以内) にして下さい。

“続行” を押すと、OpenPNE 2 のインストールが始まります。

完了しました。”WebMatrix の使用を開始するには、[起動]をクリックします” とありますので、”[起動]” をクリックしてから、”完了” を押します。

WebMatrix の管理画面が開きました。”URL: http://localhost:***/” のリンクをクリックすると、OpenPNE の初期設定画面が開きますので、SNS 名などを設定してください。

以上でインストールは完了です。

注意: この WebPI パッケージは、既にインストールされた OpenPNE 2 のアップデートには対応していません。アップデートを行おうとすると、データベース操作の際にエラーが発生します。誤ってアップデートを行おうとしても既存のデータベースが破損したりするなどの障害は確認しておりませんが、予期せぬトラブルが発生する可能性がありますので、ご注意下さい。

OpenPNE 3 の WebPI パッケージについて

都合により OpenPNE 2 のパッケージを先に作成しましたが、OpenPNE 3 の WebPI パッケージについても今年度中に提供される予定です。OpenPNE 3.6 の正式版リリース後の公開を予定しています。

謝辞

WebPI パッケージの作成にあたり、Microsoft の武田様をはじめ、Microsoft の方々には大変多くのご助力をいただきました。ありがとうございました。

OpenPNE開発チームのきわです。

2011/1 au のIPアドレス帯域追加に伴って、OpenPNEのIPアドレスリストを更新しました。
OpenPNEの携帯版を利用している方はSNSに反映お願いします。

ダウンロード

https://www.openpne.jp/pne-downloads/mobile_ip_list/
こちらのページから各バージョンのIPアドレス帯域リストをDLできます。

IPアドレス帯域リストの更新方法

OpenPNE3

OpenPNEのパッケージ内にある以下のファイルを、ダウンロードしたIPアドレス帯域リストに置き換えてください。

lib/config/config/mobile_ip_address.yml

OpenPNE2

OpenPNEのパッケージ内にある以下のファイルを、ダウンロードしたIPアドレス帯域リストに置き換えてください。

webapp/lib/ktaiIP.php

次回の更新

次回のリリースは2011/6/24(金) を予定しています。

2011/06/24

docomo (2011年7月予定)IPアドレス帯域追加対応 リリース

OpenPNE 3 には、画像動的生成処理が適切におこなわれないことによる、サービス運用妨害 (DoS) 攻撃を許す脆弱性が存在します。

本日（12/22）、この問題の対策版として OpenPNE 3.0.8.3, 3.2.7.4, 3.4.9.2, 3.6beta8 のリリースをおこないましたので、内容を確認のうえバージョンアップまたはパッチの適用をお願いいたします。

本問題について

影響を受けるシステム

3.0.8.2 以下、 3.2.7.3 以下、 3.4.9.1 以下、 3.6beta7 以下の OpenPNE を使用しているすべてのサイト。

※OpenPNE 2 を使用しているサイトは影響を受けません。

概要

OpenPNE 3 には、ユーザの投稿した画像を、ユーザのリクエストに応じて、動的にリサイズ、形式変換し、静的なファイルとしてキャッシュした上で表示する機能があります。一度生成されたものと同一のサイズ、同一の形式の画像のリクエストについては、キャッシュファイルを直接レスポンスすることで、負荷を抑えるような対応がおこなわれていました。

この機能の実装に誤りがあり、特定の形式の画像表示用の URL に対しリクエストがおこなわれた場合に、常に画像バイナリを DB などのストレージから取得し、形式変換等の処理をおこなってしまう問題が存在していました。画像を動的に取得、変換、生成して表示する処理は、静的にキャッシュしたファイルを表示するよりもはるかにコストの高い処理となります。そのため、そのようなリクエストを集中して実行されることで、 Web サーバがサービスを提供できない状態を引き起こされてしまいます。

想定される影響

この脆弱性を利用したサービス運用妨害 (DoS) 攻撃を受けた場合、 Web サーバが過負荷状態となり、その Web サーバ上で動作するアプリケーションなどが利用できなくなる可能性があります。

対策方法・回避方法

対策方法については、本エントリの「本問題への対応方法」をご覧ください。

この問題に対する回避方法はありません。

本問題への対応方法

「影響をうけるシステム」で示したバージョンの OpenPNE を利用しているすべての SNS は、対策版へのマイナーバージョンアップもしくは修正パッチの適用を実施してください。

OpenPNE 3.6beta8

[.zip 版ダウンロード] [修正パッチ]

OpenPNE 3.4.9.2

[.zip 版ダウンロード] [修正パッチ]

OpenPNE 3.2.7.4

[.zip 版ダウンロード] [修正パッチ]

OpenPNE 3.0.8.3

[.zip 版ダウンロード] [修正パッチ]

マイナーバージョンアップ手順

パッケージに同梱されているバージョンアップ手順書に記載されている通りに作業を実施してください。

各バージョンのマイナーバージョンアップ手順書は以下から確認することができます。

• OpenPNE 3.6beta8 バージョンアップ手順書 (バージョンが 3.4 と表記されていますが、この手順は 3.6.x でも有効なものです)
• OpenPNE 3.4.9.2 バージョンアップ手順書
• OpenPNE 3.2.7.4 バージョンアップ手順書
• OpenPNE 3.0.8.3 バージョンアップ手順書

パッチ適用手順

1. OpenPNEを設置しているディレクトリにパッチファイルをアップロードします
2. SSHでログインし、1 のディレクトリに移動します
3. 以下のコマンドを実行します

$ patch -p1 < パッチファイル名

4. 以下のコマンドを実行します

$ ./symfony openpne:migrate

謝辞

本問題は、 OpenPNE 公式 SNS 内の NUP 様よりご報告いただきました。厚く御礼申し上げます。

セキュリティ上の問題の報告手順について

OpenPNE プロジェクトでは、以下に案内している通り、セキュリティ上の問題の報告を受け付ける窓口 ([email protected]) を用意しています。

http://redmine.openpne.jp/projects/op3/wiki/How_To_Report_Issue_%28ja%29#%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E4%B8%8A%E3%81%AE%E5%95%8F%E9%A1%8C%E3%82%92%E5%A0%B1%E5%91%8A%E3%81%99%E3%82%8B

もしセキュリティ上の問題を発見した場合は、通常の公開されたバグ報告の手順を踏むのではなく、 [email protected] に連絡してください。 [email protected] はクローズドなメーリングリストであり、このメーリングリストでおこなわれた脆弱性の詳細情報などのやり取りがそのまま公開されることはありません。

今村です。

OpenPNE2.14.9のリリースを12/22（水）に予定していましたが、
実装の目処が立たず、リリース日を変更が必要と判断いたしました。
スケジュールについても現在検討中で、延期後のリリース日については未定です。

スケジュールが決定次第、こちらのブログで連絡いたします。

OpenPNE 2.14.9 修正予定バグ

リリースをお待ち頂いている皆様にはご迷惑をおかけしますが、
何卒ご理解頂きますようよろしくお願いいたします。

今村です。

OpenPNE3.4.10のリリースを12/9（木）に予定していましたが、
実装の目処が立たず、リリース日を変更が必要と判断いたしました。
スケジュールについても現在検討中で、延期後のリリース日については未定です。

スケジュールが決定次第、こちらのブログで連絡いたします。

OpenPNE 3.4.10 修正予定バグ

リリースをお待ち頂いている皆様にはご迷惑をおかけしますが、
何卒ご理解頂きますようよろしくお願いいたします。