鈴木たかのりです。とりあえず日記っぽく雑多なことを書き込んでいこうと思っています。
zope/plone関係の技術的な内容については 
2010/06/25
文書操作
Plone のセキュリティ Hotfix 20100612 が出ています
作成者 takanori
—
投稿日
2010年06月25日 20時59分
最終変更日時
2010年06月25日 21時00分
少し前ですが、Plone のセキュリティ上の問題を解消する Hotfix がリリースされています。
plone 2.1 から plone 3.3.5 まで全ての plone に対応しています。これらのバージョンを使用して、 特に 誰でもページを作成できるようなサイトを運営している方は、この Hotfix をあててください。
このセキュリティ問題は、Plone の中でコンテンツを変換するために使用している PortalTransforms の safe_html という安全な HTML を返す処理に問題があったようです。
詳しい内容は下記のページを読んでください。
- CVE-2010-2422: HTML injection in safe_html — Plone CMS: Open Source Content Management
- National Vulnerability Database (NVD) National Vulnerability Database (CVE-2010-2422)
この Hotfix の当て方は plone のバージョンによって違います。
plone 2.1 から 3.1
Plone Hotfix のページから plonehotfix20100612.tar.gz をダウンロードして、 Products ディレクトリにインストールしてください。
zope を foreground モードで起動すると、以下のようなメッセージが出てパッチが当たっていることが確認できます。
2010-06-12 23:54:28 INFO PloneHotfix20100612 safe_html patched
plone 3.2 または 3.3
このバージョンの場合は、以下のバージョン指定を buildout.cfg に書いて bin/buildout を再度実行してください。
[versions] Products.PortalTransforms = 1.6.11
この場合は確認メッセージは出ないらしいので、Zope のコントロールパネルで PortalTransfoms が正しいバージョンでインストールされたかを確認できます。
plone のミーティングに参加(2010-06)
- カテゴリ
-
plone
-
- ¦
- 固定リンク
- ¦
- コメント (0)
- ¦
- トラックバック (0)
- トラックバック用URL:
- http://takanory.net/takalog/1236/tbping