OpenPNE 開発チームの卜部です。

本日 2010/01/23 (土) 、 opMessagePlugin に送信メッセージの挙動について脆弱性が発見されたため、緊急リリースをおこないました。

対象:

• opMessagePlugin 0.8.2 以前 (OpenPNE 3.0.0 ～ 3.0.5 に同梱されているもの)
• opMessagePlugin 0.9.0 (OpenPNE 3.1.5 ～ 3.4.0 に同梱されているもの)

影響を受けるシステム:

対象のバージョンの opMessagePlugin を使用しているすべての OpenPNE3
(ただし、2010/01/23 15:44 以降にセットアップをおこなった OpenPNE3 には対策版のプラグインがインストールされるため、影響を受けません)

想定される影響:

送信したメッセージが送信した本人以外のメンバーに閲覧されてしまう恐れがあります。

対策方法:

OpenPNE 3.0.3 ～ 3.0.5 をお使いの場合、以下のコマンドを実行してアップデートを実施してください。

$ symfony opPlugin:install opMessagePlugin -r 0.8.2.2
$ symfony propel:build-model
$ symfony propel:build-form
$ symfony propel:build-filter
$ symfony cc

OpenPNE 3.1.5 ～ OpenPNE 3.4.0 をお使いの場合、以下のコマンドを実行してアップデートを実施してください。

$ symfony opPlugin:install opMessagePlugin -r 0.9.0.2
$ symfony doctrine:build-model
$ symfony doctrine:build-form
$ symfony doctrine:build-filter
$ symfony cc

OpenPNE 3.0.0, 3.0.1, 3.0.2 をお使いの方は、 OpenPNE 3.0.3 へのアップデートを実施してください。

OpenPNE3 用の認証プラグイン opAuthMailAddressPlugin の 1.2.1 をリリースしました。（※このプラグインは OpenPNE 3.3.x および OpenPNE 3.4.x 専用です）

今回のリリースには「秘密の質問を設定変更画面から変更すると、誤った値で登録されてしまう」という問題の対処のみがおこなわれています。既に開発版 OpenPNE 3.3.x または 3.4.x のベータ版、 RC 版をお使いの方はアップデートを実施した上、「秘密の質問の設定を変更したメンバー」に「あらためて秘密の質問を変更するようにアナウンス」してください。

バグ修正

• #500: Configuring answer for secret question in the member config page is broken (設定変更画面からの秘密の質問の答えの設定が機能しない)

詳細は opAuthMailAddressPlugin のバージョン情報をご覧ください。

アップデート手順

opAuthMailAddressPlugin v1.2.1 は、OpenPNE 3.3.x 以降に対応しています。OpenPNE 3.2.x では使えませんのでご注意ください。

以下のコマンドを実行してアップデートをおこなってください。

$ ./symfony opPlugin:install -r 1.2.1 opAuthMailAddressPlugin
$ ./symfony openpne:migrate –target=opAuthMailAddressPlugin
$ ./symfony cc

現在インストールされているプラグインのバージョンは plugin:list タスクを実行することで確認することができます。
$ php symfony plugin:list | grep opAuthMailAddressPlugin
opDiaryPlugin 1.2.1-beta # plugins.openpne.jp (plugins.openpne.jp)

「opDiaryPlugin 1.2.1-beta」という表記が確認できればインストール完了です。

OpenPNE3 用の日記プラグイン opDiaryPlugin のバージョン 1.1.2 をリリースしました。

今回のリリースには、v1.1.1 で発生したバグの修正版です。 v1.1.1 をご利用の方はバージョンアップをお願いします。

また、今回のバージョン 1.1.2 はこのあとリリース予定の OpenPNE 3.3.2 にバンドルされる予定です。

v1.1.2 での変更点

• #386: 日記作成時にアップロードした画像が表示されないバグを修正

アップデート手順

opDiaryPlugin v1.1.2 は、OpenPNE 3.3.x 以降に対応しています。OpenPNE 3.2.x では使えませんのでご注意ください。

opPlugin:install タスクをバージョンを指定して実行することでアップデートすることができます。

アップデート後は cc でキャッシュをクリアしてください。


$ php symfony opPlugin:install -r 1.1.2 opDiaryPlugin
$ php symfony openpne:migrate --target=opDiaryPlugin
$ php symfony cc


現在インストールされているプラグインのバージョンは plugin:list タスクを実行することで確認することができます。


$ php symfony plugin:list | grep opDiaryPlugin
opDiaryPlugin 1.1.2-beta # plugins.openpne.jp (plugins.openpne.jp)


「opDiaryPlugin 1.1.2-beta」という表記が確認できればインストール完了です。

OpenPNE3 用の日記プラグイン opDiaryPlugin のバージョン 1.1.1 をリリースしました。

今回のリリースには、内部改善とパフォーマンスチューニングが含まれています。

v1.1.1 での変更点

• #382: MemberRelationshipTable のメソッド呼び出しで引数の数が違っていたのを修正
• #101: ルーティングルールを YAML 設定ファイルに移動
• #105: [Performance] DBテーブルにインデックスを追加
• #380: [Performance] SQL の WHERE IN を減らすために Diary テーブルに is_open カラムを追加
• #381: [Performance] SQL 発行回数を減らすために DiaryComment テーブルに has_images カラムを追加
• #384: Doctrine モデルのデータにアクセスする際に getter/settter の代わりにプロパティアクセスを使用するよう変更

詳しくは、Redmine の v1.1.1 バージョン情報のページ をご覧ください。

アップデート手順

opDiaryPlugin v1.1.1 は、OpenPNE 3.3.x 以降に対応しています。OpenPNE 3.2.x では使えませんのでご注意ください。

opPlugin:install タスクをバージョンを指定して実行することでアップデートすることができます。今回のアップデートは DB 構造の変更を伴うので、 openpne:migrate タスクも合わせて実行してください。

アップデート後は cc でキャッシュをクリアしてください。


$ php symfony opPlugin:install -r 1.1.1 opDiaryPlugin
$ php symfony openpne:migrate --target=opDiaryPlugin
$ php symfony cc


現在インストールされているプラグインのバージョンは plugin:list タスクを実行することで確認することができます。


$ php symfony plugin:list | grep opDiaryPlugin
opDiaryPlugin 1.1.1-beta # plugins.openpne.jp (plugins.openpne.jp)


「opDiaryPlugin 1.1.1-beta」という表記が確認できればインストール完了です。

続きを読む

OpenPNE3上で、Gadgetアプリ・OpenSocial APIの提供を行う
opOpenSocialPluginのバージョン0.9.4をリリースしました。

フロントエンドからのアプリ追加について、従来は許可・拒否のみでしたが、
今回のバージョンからアプリのインストール後に
SNS管理者による許可があった上で、アプリの利用が可能となる設定を用意しました。

今後は、指定メンバーのみがアプリのインストールができるような設定も用意する予定です。

0.9.3からの変更点

• #261 メンバーによる(frontendからの）アプリの追加について強化する。
• #364 トークンのチェックにsfWebRequest::checkCSRFProtection()を利用するようにする

アップデート手順

3.1.3未満のバージョンをご利用している場合は、OpenPNE本体を事前にバージョンアップを行ってください。
また、AlbumsAPIを利用する際は、opAlbumPluginが導入されている必要があります。

本バージョンはモデルの変更を伴います。

バージョンアップ前にデータベースのバックアップを行ってください。

$ ./symfony opPlugin:install -s beta -r 0.9.4 opOpenSocialPlugin
$ ./symfony openpne:migrate --no-update-plugin
$ ./symfony cc

今後のリリースについて

大きな変更が伴う修正を今年中に行う予定です。(12/24〜12/31）
この変更がなされたバージョン(1.0.0)を安定版とし、それ以降の新機能などは開発版(1.1.x)で行います。

1.1.xでは、動作環境をOpenPNE3.3.x〜とします。

開発について

バグや要望等は、こちらから、報告ができます。

また、このプラグインはGithub上でソースコードの管理を行っています。
http://github.com/kawahara/opOpenSocialPlugin

forkやpull requestは御気軽にどうぞ！

OpenPNE3 用の日記プラグイン opDiaryPlugin のバージョン 1.1.0 をリリースしました。

今回のリリースは、 opDiaryPlugin v0.9.3 をベースに OpenPNE 3.3.x に対応した開発版になります。 v0.9.3 の内部コードを書き直しただけで機能追加はありません。

v1.1.0 での変更点

v0.9.3 からの変更点

• #315: YAML の表記を新バージョンに合わせて修正
• #345: テストスクリプトを OpenPNE 3.3.x で実行出来るように修正
• #346: checkCSRFProtection を BaseForm クラスを元に検証するよう修正
• #366: sfForm::useFields() を利用してフォームフィールドを定義するように変更
• #367: sfRequest の ArrayAccess インターフェースを利用してリクエスト変数を取得するように変更

詳しくは、Redmine の v1.1.0 バージョン情報のページ をご覧ください。

アップデート手順

opDiaryPlugin v1.1.0 は、OpenPNE 3.3.x 以降に対応しています。OpenPNE 3.2.x では使えませんのでご注意ください。

opPlugin:install タスクをバージョンを指定して実行することでアップデートすることができます。

アップデート後は cc でキャッシュをクリアしてください。


$ php symfony opPlugin:install -r 1.1.0 opDiaryPlugin
$ php symfony cc


現在インストールされているプラグインのバージョンは plugin:list タスクを実行することで確認することができます。


$ php symfony plugin:list | grep opDiaryPlugin
opDiaryPlugin 1.1.0-beta # plugins.openpne.jp (plugins.openpne.jp)


「opDiaryPlugin 1.1.0-beta」という表記が確認できればインストール完了です。

バージョン体系について

opDiaryPlugin v0.9.0 以降はOpenPNE本体と同様バージョン番号の2つ目の数字が偶数のものが安定版、奇数のものが開発版と位置づけています。

例:

• 0.9.3: 開発版
• 1.0.0: 安定版
• 1.1.0: 開発版

今後 OpenPNE 3.2.x と OpenPNE 3.3.x 以降のバージョンで opDiaryPlugin もソースコードを別にして管理するために、opDiaryPlugin v1.1.0 として 3.3.x に対応した開発版をリリースしていく予定です。

OpenPNE3 用の日記プラグイン opDiaryPlugin のバージョン 0.9.3 をリリースしました。

今回のリリースでは、メール投稿機能と管理画面の書き込み管理機能を追加しています。

v0.9.3 での変更点

• （機能追加） #102: 日記のメール投稿対応
• （機能追加） #103: 日記コメントのメール投稿対応
• （機能追加） #108: 日記管理ページをbackendに追加する
• （機能追加） #109: 日記公開範囲のデフォルト値をメンバーごとに設定できるようにする

詳しくは、Redmine の v0.9.3 バージョン情報のページ をご覧ください。

アップグレード手順

opDiaryPlugin 0.9.3 は、OpenPNE 3.2 系に対応しています。OpenPNE 3.2.x の最新版での使用を推奨しています。なお、OpenPNE 3.3.x 対応版に関しては別途 opDiaryPlugin 1.1.x としてリリースをしていく予定です。（この記事の最後でバージョン体系について説明します）

opPlugin:install タスクをバージョンを指定して実行することでアップグレードを行うことができます。

アップグレード後は cc でキャッシュをクリアしてください。


$ php symfony opPlugin:install -r 0.9.3 opDiaryPlugin
$ php symfony cc


現在インストールされているプラグインのバージョンは plugin:list タスクを実行することで確認することができます。


$ php symfony plugin:list | grep opDiaryPlugin
opDiaryPlugin 0.9.3-beta # plugins.openpne.jp (plugins.openpne.jp)


「opDiaryPlugin 0.9.3-beta」という表記が確認できればインストール完了です。

メール投稿設定手順

OpenPNE 3.2.x では携帯からのメール投稿が可能になっています。
opDiaryPlugin 0.9.3 ではこの機構を使って、日記と日記コメントのメール投稿に対応しました。

まず、OpenPNE 側の設定ファイルを編集します。
config/OpenPNE.yml.sample というファイルを config/OpenPNE.yml にコピーして編集しましょう。

• base_url
• mail_domain

の2つを環境に合わせて変更します。

メールサーバ側の設定は OpenPNE2 での設置手順とほとんど同じです。メールの内容を openpne:execute-mail-action タスクに渡せるように設定すれば OK です。

ここでは Postfix を使った場合の設定例を紹介します。


# /etc/postfix/virtual
example.com anything
@example.com openpne_user



# /etc/aliases
openpne_user "| php /path/to/openpne/symfony openpne:execute-mail-action"


以上で設定は完了です。

バージョン体系について

opDiaryPlugin v0.9.0 以降はOpenPNE本体と同様バージョン番号の2つ目の数字が偶数のものが安定版、奇数のものが開発版と位置づけています。

例:

• 0.9.3: 開発版
• 1.0.0: 安定版
• 1.1.0: 開発版

今後 OpenPNE 3.2.x と OpenPNE 3.3.x 以降のバージョンで opDiaryPlugin もソースコードを別にして管理するために、opDiaryPlugin v1.1.0 として 3.3.x に対応した開発版をリリースしていく予定です。

OpenPNE開発チームの川原です。
もはや１２月です。

本日2009年12月6日（日）、opOpenSocialPlugin 0.9.3-betaをリリースしました。

0.9.2-betaからのおもな変更点

• 【改善】管理画面文言等の修正
• 【新機能】#260 Albums API, Mediaitems APIでの取得の対応(試験的)
• 【バグ】#267アクセスブロックに対応していない問題の修正
• OpenPNE3.3.xへの対応等

導入方法

OpenPNE3.1.3以上が必要です。
3.1.3未満のバージョンをご利用している場合は、OpenPNE本体を事前にバージョンアップを行ってください。
また、Albums APIを利用する際は、opAlbumPluginと一緒に利用してください。

あらかじめ過去のopOpenSocialPluginが導入されている場合、以下のようにします。
バージョンアップ前にデータベースのバックアップを行ってください。

$ ./symfony opPlugin:install -s beta -r 0.9.3 opOpenSocialPlugin
$ ./symfony cc

本番運用等で複数のガジェットアプリを提供する場合、セキュリティ上の理由からコンテナを別のドメイン上に設置する必要があります。
（今回のバージョンから、管理画面で、この件についての警告等を大きく出すようにしています。）
ドキュメントに従い、設定するようにしてください。

今後のリリース

前回、12/24にリリースをするといっていましたが、小刻みにリリースをし、
最終的に3.3.x、3.4.xに同梱するバージョンを 1.0.0(stable)とすることにしました。

自分の予定等で変更になることがあるかもしれませんが、予定はロードマップをご覧ください。

開発やバグ報告・要望について

バグや要望等は、こちらから、報告ができます。

また、このプラグインはGithub上でソースコードの管理を行っています。
http://github.com/kawahara/opOpenSocialPlugin

forkやpull requestはお気軽に！（むしろください！）