最新ブログ
安定版 OpenPNE 3.8.8 リリースのお知らせ
09 / 19 木曜日 2013
OpenPNE 開発チームの今村です。
本日、OpenPNE 3.8.8 をリリースしました。
本リリースでは、アクティビティの画像投稿に関する機能改善を行っております。
アクティビティへの画像の複数枚投稿がJSON APIから可能になっています。
次回、OpenPNE3.8.9のリリースは 2013年11月14日(木) を予定しています。
不具合、何か気づいた点などあれば公式 SNS や redmine.openpne.jp などで報告していただければと思います。
リリース情報などの情報は pnetan が Twitter でよくつぶやいていますので
是非フォローしてみてください。
pnetan 公式アカウント
OpenPNE 3.8.8リリース延期について
09 / 12 木曜日 2013
OpenPNE 開発チームの今村です。
OpenPNE 3.8.8 のリリース延期についてのお知らせです。
本日2013年9月12日(木) のリリースを予定していましたが、
1週間後の 2013/9/19 (木)にリリース日を延期致します。
今バージョンで修正対応予定の機能にて、追加で修正が必要であると判断したためです。
リリースをお待ちいただいいている皆様にはご迷惑をおかけしますが、
何卒ご理解いただきますよう、よろしくお願いいたします。
【緊急リリース】すべてのバージョンの OpenPNE 3、 opOpenSocialPlugin、 opWebAPIPlugin における XML 外部実体参照に関する脆弱性対応のお知らせ (OPSA-2013-003)
09 / 10 火曜日 2013
すべてのバージョンの OpenPNE 3 および opOpenSocialPlugin、 opWebAPIPlugin には、 XML 外部実体参照に関する脆弱性が存在します。この脆弱性をインターネット上の第三者に悪用されることで、たとえば、サーバ上の情報の漏洩や、サーバのリソースを過度に消費される可能性があります。
本日 (09/10)、この問題の対策版リリースをおこないましたので、内容を確認のうえバージョンアップまたはパッチの適用を、どちらも難しい場合は回避策の実施をお願いいたします。
本問題について
影響を受けるシステム
※以下に示す条件を満たしていたとしても、「PHP が依存する libxml2 のバージョンが 2.9.0 以上である場合」は本脆弱性の影響を受けないため、対応の必要はありません。お使いの PHP がどのバージョンの libxml2 に依存しているかどうかは、 phpinfo() の情報から確認することができます。
以下のバージョンの OpenPNE を使用しているすべてのサイト
- OpenPNE 3.8.7
- OpenPNE 3.6.11
- OpenPNE 3.4.21.1
- OpenPNE 3.2.7.6
- OpenPNE 3.0.8.5
以下のバージョンの opOpenSocialPlugin を使用しているすべてのサイト
- opOpenSocialPlugin 1.2.6
- opOpenSocialPlugin 0.9.13
- opOpenSocialPlugin 0.9.9.2
- opOpenSocialPlugin 0.8.2.2
以下のバージョンの opWebAPIPlugin を使用しているすべてのサイト
- opWebAPIPlugin 0.5.1
- opWebAPIPlugin 0.4.0
- opWebAPIPlugin 0.1.0
脆弱性の説明
XML パーサに存在する XML 外部実体参照の機能を悪用し、特定の形式の XML を OpenPNE やバンドルプラグインに読み込ませることで、サーバ上の情報の漏洩、サーバのリソースの過度な消費などの問題を引き起こされる可能性があります。
脆弱性の生じる機能は以下に示すとおりです。
- OpenPNE 3 の複数の XML パース部分に存在する XXE 脆弱性 (CVE-2013-4333)
- OpenPNE プラグインセットアップ関連機能
- opAuthOpenIDPlugin による OpenID 関連機能
※OpenPNE 3 コアに同梱された PHP OpenID Library の脆弱性 が原因であるため、 opAuthOpenIDPlugin に対する修正ではなく、 OpenPNE 3 コアに対する修正が必要となります
- opWebAPIPlugin による HTTP リクエスト処理部分に存在する XXE 脆弱性 (CVE-2013-4334)
- opOpenSocialPlugin による OpenSocial 関連機能に存在する XXE 脆弱性 (CVE-2013-4335)
対策方法・回避方法
ソースコード上での対応方法については、本エントリの「本問題への対応方法」をご覧ください。
libxml2 側での対応方法
PHP の依存する libxml2 を 2.9.0 以上のものに置き換えることで、本問題への対策となります。
この作業が難しい場合は、後述する「ソースコード上での対方法」もしくは「回避方法」の手順を実施してください。
回避方法
後述の根本対応がすぐにおこなえない場合、以下のすべての対策を実施してください。
- opWebAPIPlugin を無効にする
- opOpenSocialPlugin を無効にする
- opAuthOpenIDPlugin を無効にする
- 信頼できないプラグインをインストールしない (ただし、これは本脆弱性の有無にかかわらずもともと必須です)
本問題への対応方法
「影響をうけるシステム」で示した条件を満たすすべてのサイトは、以下の対応を実施してください。
OpenPNE 3
対策版へのマイナーバージョンアップもしくは修正パッチの適用を実施してください。
- OpenPNE 3.8.7.1
- [.zip 版ダウンロード] [修正パッチ]
- OpenPNE 3.6.11.1
- [.zip 版ダウンロード] [修正パッチ]
- OpenPNE 3.4.21.2
- [.zip 版ダウンロード] [修正パッチ]
- OpenPNE 3.2.7.7
- [.zip 版ダウンロード] [修正パッチ]
- OpenPNE 3.0.8.6
- [.zip 版ダウンロード] [修正パッチ]
マイナーバージョンアップ手順
パッケージに同梱されているバージョンアップ手順書に記載されている通りに作業を実施してください。
各バージョンのマイナーバージョンアップ手順書は以下からも確認することができます。
- OpenPNE 3.8.7.1 バージョンアップ手順書
- OpenPNE 3.6.11.1 バージョンアップ手順書
- OpenPNE 3.4.21.2 バージョンアップ手順書
- OpenPNE 3.2.7.7 バージョンアップ手順書
- OpenPNE 3.0.8.6 バージョンアップ手順書
パッチ適用手順
1. OpenPNEを設置しているディレクトリにパッチファイルをアップロードします
2. SSHでログインし、1 のディレクトリに移動します
3. 以下のコマンドを実行します
$ patch -p1 < パッチファイル名
4. 以下のコマンドを実行します
$ ./symfony openpne:migrate
OpenPNE プラグイン
OpenPNE 3 本体のマイナーバージョンアップをおこなうと opWebAPIPlugin や opOpenSocialPlugin のバージョンアップも自動的におこなわれます。
そのため、バンドルプラグインについては個別にバージョンアップする必要はありません。
バンドルされていないバージョンを利用しているなどの理由により、自動的にバージョンアップがおこなわれない場合、プラグインのリリース情報を参考に更新をおこなってください。
- opWebAPIPlugin
- opWebAPIPlugin-0.5.1.1
- opWebAPIPlugin-0.4.0.1
- opWebAPIPlugin-0.1.0.1
- opOpenSocialPlugin
- opOpenSocialPlugin-1.2.6.1
- opOpenSocialPlugin-0.9.13.1
- opOpenSocialPlugin-0.9.9.3
- opOpenSocialPlugin-0.8.2.3
謝辞
本脆弱性は、海老原昂輔 (co3k) 氏よりご報告いただきました。厚く御礼申し上げます。
なお、 海老原氏によれば、本件のような XML パース処理に関わる脆弱性の概要やプログラム側での対応方法について、 PHP カンファレンス 2013 にて講演する予定とのこと です。
セキュリティ上の問題の報告手順について
OpenPNE プロジェクトでは、以下に案内している通り、セキュリティ上の問題の報告を受け付ける窓口 ([email protected]) を用意しています。
セキュリティ上の問題を発見した場合は、通常の公開されたバグ報告の手順を踏むのではなく、 [email protected] に連絡してください。 [email protected] はクローズドなメーリングリストであり、このメーリングリストでおこなわれた脆弱性の詳細情報などのやり取りがそのまま公開されることはありません。
携帯電話IPアドレス帯域リストを更新しました
09 / 02 月曜日 2013
OpenPNE開発チームの 今村 です。
本日 2013/09/02、OpenPNEのIPアドレス帯域リストの更新をおこないました。
今回の変更は auのIPアドレス帯域の追加と削除に伴うものです。
OpenPNEの携帯版を利用している方はSNSに反映をお願いします。
更新内容の詳細
https://redmine.openpne.jp/versions/305
こちらのページにて更新内容が確認できます。
ダウンロード
https://www.openpne.jp/pne-downloads/mobile_ip_list/
こちらのページから各バージョンのIPアドレス帯域リストをダウンロードできます。
IPアドレス帯域リストの更新方法
OpenPNE3
OpenPNEのパッケージ内にある以下のファイルを、ダウンロードしたIPアドレス帯域リストに置き換えてください。
lib/config/config/mobile_ip_address.yml
OpenPNE2
OpenPNEのパッケージ内にある以下のファイルを、ダウンロードしたIPアドレス帯域リストに置き換えてください。
webapp/lib/ktaiIP.php
安定版 OpenPNE 3.6.11 リリースのお知らせ
08 / 08 木曜日 2013
OpenPNE 開発チームの今村です。
本日、OpenPNE 3.6.11 をリリースしました。
本リリースでは、不要なデータが残り続ける不具合の修正を行なっています。
今回の修正も77webさんからのプルリクエストで頂いたものです。
プルリクエストありがとうございます。
バグ報告は公式SNSより頂きました。
consさん、バグ報告ありがとうございました！
OpenPNEプロジェクトでは、皆様からのよう要望やバグ報告、プルリクエストを率先して取り込みます！
次回のリリースは 2013年10月10日(木) を予定しています。
不具合、何か気づいた点などあれば公式 SNS や redmine.openpne.jp などで報告していただければと思います。
リリース情報などの情報は pnetan が Twitter でよくつぶやいていますので
是非フォローしてみてください。
pnetan 公式アカウント
公式SNSリニューアルいたしました
07 / 31 水曜日 2013
OpenPNE開発チームの今村です。
本日、7/31（水）に公式SNSをリニューアルいたしました。
OpenPNEユーザーの皆さんが気軽にコミュニケーションができるQ&Aサイトとして生まれ変わりました。
Facebook、Google、Twitterのアカウントで登録ができますので、皆さんどしどし登録をおねがいします。
OpenPNE3.8系スマートフォン対応状況報告01
07 / 25 木曜日 2013
OpenPNE 開発チームの中島です。
先日のブログで宣言したとおり、OpenPNE3.8系スマートフォン対応状況を案内します。
第1弾にあたる今回は、OpenPNE3.8系スマートフォン対応状況を以下の表に一覧化しました。
スマホ対応状況が「○」となってる機能は、3.8をご利用中の方はプラグインを対象バージョンにアップデートすることで、スマートフォン版が使用可能となります。
※スマホ対応優先順位が高いものから、上から順番に並べています。
※opMessagePluginのスマートフォン版は開発中です。
※opDiaryPlugin 1.5.0 とopCommunityTopicPlugin 1.1.1 は開発版ですので、使用の際はご注意ください。
次回は、opDiaryPlugin を、スマートフォン画面の説明を含めて紹介することを予定しています。
以上です。
7/31に公式SNSをリニューアルします
07 / 19 金曜日 2013
OpenPNE開発チームの今村です。
7/31（水）に公式SNSをリニューアルします。
新公式SNSはどう変わるの？
新公式SNSは、OpenPNEユーザーの皆さんが気軽にコミュニケーションができるQ&Aサイトとしてリニューアルする予定です。
新公式SNSのURLは現在の公式SNSと同じく https://sns.openpne.jp/ です。
これまで日記やタイムラインやトピックなどに散乱していたQ&Aコンテンツを、コミュニティ機能のトピックに絞ることでシンプルになります。
また、新機能としてトピックに「KAIZEN」や「HELPME」や「BUG」といったラベルを付けられるようにし、Q&Aを分類し探しやすくなります。
現在の公式SNSのコンテンツは？
現在の公式SNSは https://sns.openpne.jp/classic として今後も利用できます。
昔の日記を読み返したり、アルバムを見たりなど自由にご利用ください。
また、ブックマークに登録してる方は変更をおねがいします。
その他お知らせ
- 新公式SNSにて交わされたQ&Aはより多くのOpenPNEユーザーや、今後OpenPNEの利用を考えている方のためにOpenPNE公式サイトのブログなどで事例集として公開する予定です
- 新公式SNSに現在の公式SNSのアカウントは移行しません。新規登録をよろしくお願い致します
- facebook、google、twitterのアカウントで新規登録が可能になる予定です
- リニューアル後、classic環境のコンテンツ内にあるSNS内のURLはリンクが無効になります
- https://sns.openpne.jp/classic/diary/1 のようにURLに classic をつければアクセスできます
- リニューアル作業にともないログイン状態をリセットしますので、リニューアル後は再度ログインを行なってください
以上です。
新安定版 OpenPNE 3.8.7 リリースのお知らせ
07 / 11 木曜日 2013
OpenPNE 開発チームの今村です。
本日、OpenPNE 3.8.7 をリリースしました。
本リリースでは、スマートフォンで発生する不具合の修正を行なっています。
「アクセスブロックした相手がスマートフォンでフレンドとして表示される」問題は77webさんからのプルリクエストにより修正されました。
プルリクエストありがとうございました！
また、この問題は、公式コミュニティから報告を頂いたバグです。
consさん、バグ報告ありがとうございました！
次回のリリースは 2013年9月12日(木) を予定しています。
不具合、何か気づいた点などあれば公式 SNS や redmine.openpne.jp などで報告していただければと思います。
リリース情報などの情報は pnetan が Twitter でよくつぶやいていますので
是非フォローしてみてください。
pnetan 公式アカウント
新安定版 OpenPNE 3.8.7 リリース予定
06 / 21 金曜日 2013
OpenPNE 開発チームの中島です。
先日、OpenPNE 3.8.7のリリース選定会を行いました。
そこで、次回7月11日（木）のリリース内容が決定されました。
今回は、スマートフォンで発生していた問題を解決します。