Sep 06, 2006

Nucleus 3.23 日本語版sp1 (非公式版)

Nucleus CMS フォーラム内をチェックされてる方ならご存じかと思いますが、一部のプラグインにセキュリティ上の不具合が報告されました。詳しい内容は下記フォーラム記事をご覧下さい。

プラグインとコアの脆弱性を解決するプラグイン(NP_0PatchBlogid)リリースについて

他のプラグインの不具合を修正するためのプラグイン NP_0PatchBlogid がリリースされました。まぁ片っ端から個々のプラグインの最新版で置き換えていくのが本来の姿なんですが、なかなか全部の修正版がそろうのにも時間がかかるだろう、ということでのリリースになってます。

また、これとは別の方法で、コアを変更して不具合の修正を試みましたが、上記プラグインと違ってあまり広範囲なテストはできてません。主にテストして頂ける方のみご利用下さい。テストと言ってもセキュリティ上の理由から、その仕方を細かく書きませんので、入れ替えてみて普通に使っていて問題なければそれで良しという人が対象です。

処理内容としては、

  • 前述のプラグイン同様 $blogid と $archivelist パラメータをプラグインファンクション呼び出し前に整数化しておく
  • $_GET パラメータの queryキー 以外全てについてエスケープシーケンス以降の文字列を削除
  • $_GET のキー自体が汚染されてる場合があるのでその対処。
  • 上記処理済み $_GET を使って、REQUEST_URI などを再構築する。但し、mod_rewrite 機能を使ったプラグインなどで URL を変更してる場合、元々 REQUEST_URI に含まれていないにも関わらず $_GET に入ってる値があるので、それに関しては REQUEST_URI 再構築時に使用しない。

の4点です。$_GET['query'] は検索フォームからの入力時に使用されるため上記処置(2番目)の対象外にしてあります。

最後に、この修正版コアを利用した場合、先のプラグインをインストールする必要はありませんが、仮に正常動作したとしても、将来の正式リリース版に組み込まれるかどうかは現時点で不明で、あまり入れ替えるメリットは無いかもしれませんが、GPL ですので修正版公開しておきます。もちろんここは修正版使ってますよ。
globalfunctions-3.23sp1.zip[327clicks]


Related Info.

Comments

佐藤(な) wrote:

何もお手伝いできていませんので、せめてこれくらいのことは。。。
3.23sp1試してみまーす。
Posted on Sep 07, 2006 05:47:41

Kimitake wrote:

ありがとぉ~。まだまだ修正中なので不具合見つけたらお知らせ下さい。
手順とか細かく書かなくっちゃいけない場合は、セキュリティー上まずいので、http://kimitakeblog.net... ここから直でメッセージ下さい。
その場合は、返事先も書いてあるとうれしいです。
Posted on Sep 07, 2006 07:26:17

Add Comments

※下記の単語・フレーズはコメントで使用できません。大文字・小文字は同一視します。
poker, backgammon, tramadol, casino, insurance, loans
JavaScript is required when you submit comment %20%20%3c%61%20%69%64%3d%22%6e%75%63%6c%65%75%73%5f%63%66%22%3e%3c%2f%61%3e %3c%66%6f%72%6d%20%6d%65%74%68%6f%64%3d%22%70%6f%73%74%22%20%61%63%74%69%6f%6e%3d%22%23%6e%75%63%6c%65%75%73%5f%63%66%22%3e %09%3c%64%69%76%20%63%6c%61%73%73%3d%22%63%6f%6d%6d%65%6e%74%66%6f%72%6d%22%3e %3c%69%6e%70%75%74%20%74%79%70%65%3d%22%68%69%64%64%65%6e%22%20%6e%61%6d%65%3d%22%61%63%74%69%6f%6e%22%20%76%61%6c%75%65%3d%22%61%64%64%63%6f%6d%6d%65%6e%74%22%20%2f%3e %3c%69%6e%70%75%74%20%74%79%70%65%3d%22%68%69%64%64%65%6e%22%20%6e%61%6d%65%3d%22%75%72%6c%22%20%76%61%6c%75%65%3d%22%68%74%74%70%3a%2f%2f%6b%69%6d%69%74%61%6b%65%62%6c%6f%67%2e%6e%65%74%2f%69%74%65%6d%2f%33%34%32%22%20%2f%3e %3c%69%6e%70%75%74%20%74%79%70%65%3d%22%68%69%64%64%65%6e%22%20%6e%61%6d%65%3d%22%69%74%65%6d%69%64%22%20%76%61%6c%75%65%3d%22%33%34%32%22%20%2f%3e %09%09 %09%09%3c%6c%61%62%65%6c%20%66%6f%72%3d%22%6e%75%63%6c%65%75%73%5f%63%66%5f%62%6f%64%79%22%3eコメント%3a%3c%2f%6c%61%62%65%6c%3e %09%09%3c%74%65%78%74%61%72%65%61%20%6e%61%6d%65%3d%22%62%6f%64%79%22%20%63%6c%61%73%73%3d%22%66%6f%72%6d%66%69%65%6c%64%22%20%63%6f%6c%73%3d%22%34%30%22%20%72%6f%77%73%3d%22%31%30%22%20%69%64%3d%22%6e%75%63%6c%65%75%73%5f%63%66%5f%62%6f%64%79%22%3e%3c%2f%74%65%78%74%61%72%65%61%3e %09%09%3c%6c%61%62%65%6c%20%66%6f%72%3d%22%6e%75%63%6c%65%75%73%5f%63%66%5f%6e%61%6d%65%22%3eお名前%3a%3c%2f%6c%61%62%65%6c%3e %09%09%3c%69%6e%70%75%74%20%6e%61%6d%65%3d%22%75%73%65%72%22%20%73%69%7a%65%3d%22%34%30%22%20%6d%61%78%6c%65%6e%67%74%68%3d%22%34%30%22%20%76%61%6c%75%65%3d%22%22%20%63%6c%61%73%73%3d%22%66%6f%72%6d%66%69%65%6c%64%22%20%69%64%3d%22%6e%75%63%6c%65%75%73%5f%63%66%5f%6e%61%6d%65%22%20%2f%3e %09%09%3c%6c%61%62%65%6c%20%66%6f%72%3d%22%6e%75%63%6c%65%75%73%5f%63%66%5f%6d%61%69%6c%22%3eウェブサイト%3a%3c%2f%6c%61%62%65%6c%3e %09%09%3c%69%6e%70%75%74%20%6e%61%6d%65%3d%22%75%73%65%72%69%64%22%20%73%69%7a%65%3d%22%34%30%22%20%6d%61%78%6c%65%6e%67%74%68%3d%22%36%30%22%20%76%61%6c%75%65%3d%22%22%20%63%6c%61%73%73%3d%22%66%6f%72%6d%66%69%65%6c%64%22%20%69%64%3d%22%6e%75%63%6c%65%75%73%5f%63%66%5f%6d%61%69%6c%22%20%2f%3e %09%09%3c%6c%61%62%65%6c%20%66%6f%72%3d%22%6e%75%63%6c%65%75%73%5f%63%66%5f%65%6d%61%69%6c%22%3eメール%3a%3c%2f%6c%61%62%65%6c%3e %09%09%3c%69%6e%70%75%74%20%6e%61%6d%65%3d%22%65%6d%61%69%6c%22%20%73%69%7a%65%3d%22%34%30%22%20%6d%61%78%6c%65%6e%67%74%68%3d%22%31%30%30%22%20%76%61%6c%75%65%3d%22%22%20%63%6c%61%73%73%3d%22%66%6f%72%6d%66%69%65%6c%64%22%20%69%64%3d%22%6e%75%63%6c%65%75%73%5f%63%66%5f%65%6d%61%69%6c%22%20%2f%3e %09%09 %09%09%3c%69%6e%70%75%74%20%74%79%70%65%3d%22%63%68%65%63%6b%62%6f%78%22%20%76%61%6c%75%65%3d%22%31%22%20%6e%61%6d%65%3d%22%72%65%6d%65%6d%62%65%72%22%20%69%64%3d%22%6e%75%63%6c%65%75%73%5f%63%66%5f%72%65%6d%65%6d%62%65%72%22%20%20%2f%3e %09%09%3c%6c%61%62%65%6c%20%66%6f%72%3d%22%6e%75%63%6c%65%75%73%5f%63%66%5f%72%65%6d%65%6d%62%65%72%22%3e情報を記憶しておく%3c%2f%6c%61%62%65%6c%3e %09%09%3c%69%6e%70%75%74%20%74%79%70%65%3d%22%73%75%62%6d%69%74%22%20%61%6c%74%3d%22コメントを追加%22%20%76%61%6c%75%65%3d%22コメントを追加%22%20%63%6c%61%73%73%3d%22%66%6f%72%6d%62%75%74%74%6f%6e%22%20%2f%3e %09%3c%2f%64%69%76%3e %3c%69%6e%70%75%74%20%74%79%70%65%3d%22%68%69%64%64%65%6e%22%20%6e%61%6d%65%3d%22%6e%70%5f%70%72%6f%74%65%63%74%62%79%6d%64%35%22%20%76%61%6c%75%65%3d%22%31%61%38%31%64%38%36%33%66%36%64%31%38%30%62%64%36%33%32%39%38%32%32%64%65%65%31%63%62%63%36%33%22%3e %3c%69%6e%70%75%74%20%74%79%70%65%3d%22%68%69%64%64%65%6e%22%20%6e%61%6d%65%3d%22%6e%70%5f%70%72%6f%74%65%63%74%62%79%6d%64%35%5f%68%61%73%68%22%20%76%61%6c%75%65%3d%22%61%66%38%32%66%66%62%36%38%33%66%61%39%36%61%35%36%38%62%33%65%33%34%65%65%36%39%31%62%37%66%38%22%3e %3c%2f%66%6f%72%6d%3e %20%20

OpenID を使ってログインすることができます。

Identity URL:

Trackbacks

トラックバック
このエントリにトラックバックはありません
このトラックバックURLを使ってこの記事にトラックバックを送ることができます。 もしあなたのブログがトラックバック送信に対応していない場合にはこちらのフォームからトラックバックを送信することができます。.
visitor stats