MovableType Version 2.65 Released
オオカワ 2003-12-23 [MovableType]
A security issue has been found in Movable Type's XML-RPC server. We suggest that all users of Movable Type upgrade their installations to fix this issue.
MovableType Version 2.65 Released

MovableTypeの新バージョンが公開されてました。新バージョンといってもあくまでもマイナーバージョンアップ2.64→2.65ということで、MovableTypeのモジュールXMLRPCServer.pmにおけるセキュリティFIXとmt-send-entry.cgiのセキュリティFIXがメインで、それに加え、オマケな感じでAtom(RSSの親戚みたいな感じのシンジケートサマリーフォーマット、ってとこですかね?)の出力をサポート(デフォルトでのテンプレート用意)しました。

XMLRPC の脆弱性は危険度高いので、日本語パッチがでるまえに、以下のいずれかを対応したほうがよいでしょう。

今回のバージョンアップ内容は非常にセキュリティ的な問題が大きいということなのでトラブルなど起きる前に対応してみましょう。

blog.bulknews.netさんを参考にとりあえずXMLRPCServer.pmの差し替えだけしてみました。んで、ハンチングは文字コードをUTF-8で使っているのでそのままXMLRPCServer.pmを入れ替えられるのですがEUC-JPを使っている場合は、こちらのパッチを導入するなどして環境に合わせた上で導入してあげる必要があるようです。

しかしアップグレードは緊急とのことなので、取り急ぎ2.65で修正の加わったXMLRPCServer.pmの緊急対応パッチを用意しました。
今回の件でオリジナルの XMLRPCServer.pm に変更があったので、2.65 XMLRPCServer.pm 用のパッチを書きました。

また、完全なアップグレード(MovableType環境全てのアップグレード)を行おうと考えてる場合には、オフィシャルドキュメントのこちらを参考にして作業してみてくださいまし。

If you have already installed a previous version of Movable Type (1.0-2.51) you do not need to perform a complete installation. If you have not yet installed Movable Type, see the installation instructions.

と、まあ、特に大きく事前アナウンスも無いまま、緊急な感じでリリースされた2.65ですが、俺はちょっと全入れ替えは様子見ようかなとも思っています。MTの内部に結構手を入れてカスタマイズしてる部分もあるのでその移行が大変ですし、それ以前にその修正箇所をまとめてなかったもんだからドコをどういじったのか全然覚えてない状態でもありまして。。ガクーリ。

それと、もうすでに3.0のリリースアナウンスも発表されていたので2.64セキュリティFIX→3.0でのアップグレードでいいかなとか思ってみたり。

Movable Type 3.0 will be a free download and upgrade. We have full-time engineering resources devoted to this new version, and we plan to have a beta release in early Q1 of 2004.

年明け第1四半期中にリリースの予定だということですな。これは楽しみだ。アナウンス本文でも「TypePadが忙しかったもんでMovableType疎かにして御免よ。でも、TypePadのフィードバックをイッパイ盛り込むぜ!」とか言ってくれてますんでかなり期待できるんじゃないでしょうか。インターフェースカスタマイズにかなり柔軟性出したり、コメント・トラックバックの制限コントロール機能なんかも追加されるみたいですな。最近はコメントスパムやスパムトラックバックが増えてきた以上、装備しなければならない機能になったということでしょうかねえ。あと、プラグインAPIも変更(追加?)が入るようで今まで以上にさらにイカしたプラグイン作成環境が準備されるみたいですな。

2.65のリリースも久々のMobavleTypeニュースではありますが3.0リリースアナウンスもビックニュースでしたな。最近の国内のウェブログ活発化にさらに追い風を生みそうなニュースでまたウェブログの認知を広めてくれそうな感じもしますね。

コメント
Amazon Search
楽天 Search
情報を読み込んでいます...
[ RSS ]
最近聴いた曲