2.1.6 用セキュリティパッチ

[minahito]

minahito です。
XUGJ でレポートされている問題に対するパッチを行う preload を tohokuaiki さんがアップされていたので、こちらにも転載させていただきます。

(でも、アップデートされたらこのPreloadの処理に困るんですけど。空ファイルにするとかかな？

という話があったので、 2.1.7 以降で "LEGACY_MODULE_VERSION" という phpversion 準拠の定数を定義することを前提にして、 2.1.7 未満でのみ動作するようにコードを付け足してみました。が、まだ確認できる環境の前におらず、動作は未確認です。

ちなみに再現条件は、

• 管理者が管理画面で、既存のアカウントをすべてのグループから離脱させる操作を行って、グループ未所属のデータにする。
• そのアカウントでログインする

というものなので、任意の攻撃には利用できず、緊急性は低いと考えます。
にしても見つかってラッキーです（汗

家に帰れる人がいたら(泣)確認お願いします。

# XUGJ へのレスは後でまとめて...

[tohokuaiki]

たぶん、判定条件はこうなんじゃないでしょうか？

Code: Select all

    function preFilter()
    {
      if (!defined("LEGACY_MODULE_VERSION") ||
         version_compare(LEGACY_MODULE_VERSION, "2.1.7", "<"))
      {
         $this->mRoot->mDelegateManager->add('Legacy.Event.GetHandler',
                                    array($this, 'patchNoneGroupUsers'));
      }
    }


[minahito]

おぉ……逆に 2.1.6 だと動かない条件になってしまってました……
修正しました。ありがとうございます。

でも新しいスタンスの patch 出てますね (^^;
とりあえずアップしておきます。