Jeans & Development

Nucleusのメディアマネージャ（コアに付属のもの及び、プラグインによるもの）に、ディレクトリ・トラバーサル等の脆弱性が発見されています。

詳しくは、フォーラムの当該記事をご覧ください。主に、複数ユーザでNucleusを用いているときに、大きな問題が生じます。コアについてはすでにパッチ（SP3）が出ていますので、複数ユーザで使用の方は3.31 SP3にアップグレードしてください。単独ユーザ、もしくは１００％信頼できるメンバーでのみNucleusを運営している場合は、アップグレードの必要はありません。

また、同様の脆弱性がNP_Mediatocu及びNP_ImprovedMediaに発見されています。NP_Mediatocuについては、複数・単独ユーザでの使用に関わらず、対策版が出るまではアンインストールすることをお勧めします。NP_ImprovedMediaに関しては、単独メンバーでの使用は問題ありませんが、複数メンバーで使用している場合は対策版が出るまでの間はアンインストールをお勧めします。

Nucleus-SQLiteでも、SP3を用意しました。該当する方は、アップグレードをお願いします。

Jeans CMSの製作過程において、Nucleusのさまざまなスキン変数を眺めているが、先日、<%prevlink%> <%nextlink%>の２つのスキン変数が、メインの目次ページでも使えることを知った。

ただし、<%if(previtem)%>などは使えない。これは、個別アイテムページ及びアーカイブページでのみ使えるようである。なので、次や前のページが無いときにリンクが表示されないようにするには、少し工夫が必要。

JavaScriptを用いれば、こんな風に使える。

<a href="<%nextlink%>" id="nextlink">older items</a>
<a href="<%prevlink%>" id="prevlink">newer items</a>
<script type="text/javascript">
function hide_link(id){
  var element=document.getElementById(id);
  if (element.href=="" || element.href==document.location)
    element.style.display="none";
}
hide_link("nextlink");
hide_link("prevlink");
</script>

NP_ShowBlogsやNP_PageSwitchを使うまでもないような、ちょっとしたページ遷移に便利かも。

サポート情報：トレンドマイクロ　ー　ウイルスパターンファイル 5.649.00における誤警告情報
■影響範囲
上記に該当するスクリプトファイルを、「MakeExe」ツールを使用してEXE形式の実行ファイルへ変換しますと、その作成されたEXEファイルが「TROJ_VBTROJ.AQ」として検出されてしまいます。また、「MakeExe」ツールのプログラムファイル(makewin.exe) も検出対象となります。
■対応状況
今回の誤警告については、次のウイルスパターンファイルで検出しないように修正されています。

と言うことだそうで、お騒がせしています。

<MakeExeで作成したファイルがウイルスと誤認される件に付いて のつづき>

Nucleus JPフォーラムでのあるトピックで、一つのプラグインを二つの異なるプラグインとしてインストールできれば、有用であるケースがあることを知った。フォーラムでの結論としては、プラグインのPHPファイル及び下層ディレクトリのファイル名を書き換えてコピーし、クラス名も同じ名で書き換えることで対応できるということになった。

このような対応をした場合、後にプラグインのアップグレードをする時は、コピー元とコピーしたプラグインの両方を変更しなければならない。

masさんがtwitterで、これを解決する方法をつぶやいていたので、少しまとめてここにメモ。

<プラグインをコピーして使う のつづき>

一瞬にして無線LANのWEPを解読する方法がついに登場、まもなく解読プログラムを公開予定

知らなかった。恐ろしい。

ネットサーフィンしていて、面白い記事を発見。

Electronic Genomeより、

JavascriptでWin32APIが利用しやすくなる『win32api.js』
Javascript(JScript)からSFC mini経由でWin32APIを簡単に利用できるようにするwin32api.jsを作ったので公開します。win32api.jsをインポートすると Win32APIで定義されている定数6315個、構造体クラス412個、API関数2007個がグローバル変数として展開されます。これでCなどで書かれたWin32APIなコードを比較的簡単にHTAなどのJavascriptアプリに流用できそうです。

<JavascriptでWin32APIが利用しやすくなる『win32api.js』 のつづき>

XSS脆弱性を修正した、3.31 SP2が出ました。ただし、脆弱性はEUC-JP版を、インターネットエクスプローラ・バージョン６で用いたときに、出ます。ですので、次の事例に該当する場合は、現在のところバージョンアップする必要はありません。

１）UTF8版、および英語版を用いている場合
２）EUC-JP版を、イントラネットなどのローカル環境でのみ使用しており、かつ、閲覧している全員がIE7もしくはFireFoxなどのブラウザのみを用いている場合。

EUC-JPを用いているけれども、管理にはIE6以外のブラウザ（IE7やFireFox）を用いているケースでは、危険性は少ないです。ただし、IE6で閲覧した第三者に意図しないサイト表示がされたりする可能性があります。こういったケースでも必ずバージョンアップを行ってください。

なお、SQLite版についてもSP2を用意しましたので、EUC-JPで用いている方はバージョンアップをお願いします。

asahi.comより、

チームは、ネズミの胎児から取り出した脳を酵素で処理し、神経細胞３０万個がバラバラになったものを作った。これに約６０本の電極をつなぎ、動き回るロボットの障害物センサーから出る電気信号で、神経細胞が刺激されるようにした。

このロボットを繰り返し動かしたところ、障害物を避けるようになった。

もしかしたらこれは、パンドラの箱が空いたことを意味するのではないだろうか。私たちがほとんど理解できていない神経細胞というものを用いたCPUが出来たりしたら、何が起こるかという気がする…。

参考１
参考２

suppon 0.1.0βを公開しました。ライセンスは、LGPLv2.1です。

readme.txtより

Suppon ver 0.1.0 beta (LGPL lisence ver 2.1)

Supponは、WSHにおいて、COM(ActiveX-DLL/OCX)をレジストリへの登録無しに利用で
きるようにするツールです。OyagameやSFC-miniなどを用いて作成したプログラムを
配布する際に用いることを前提として設計されています。

マニフェストは使用していませんので、Windows Vista/XPだけでなく、Windows 2000
でも利用可能です。

利用する際は、ActiveX-DLL/OCXファイルをsuppon.exeと同じフォルダに起き、
suppon.jpを編集して、プログラムID・ファイル名・CLSIDを設定してください。プ
ログラムID・CLSIDが不明の場合は、一度ActiveXをregsvr32.exeを用いてレジスト
リに登録すると、レジストリエディタを用いて確認することが出来ます。なお、
OyagameとSFC-miniについては、あらかじめ設定されています。

作成したWSHファイル(*.vbs, *.js, *.vbe, *.jse)は、suppon.exeにコマンドライ
ン(%1)として与えると、実行できます。あるいは、ファイル名をstart.vbsなどと
してsuppon.exeと同じディレクトリに置けば、コマンドライン無しでsuppon.exeを
ダブルクリックするなどして実行することも出来ます。スクリプト中でCOMオブジェ
クト作成の際は、CreateObject()やActiveXObject()関数ではなく、
WScript.CreateObject()メソッドを利用してください。なお、COMのイベント機能
は残念ながら利用できません。

suppon 0.1.0βは、ここからダウンロードできます。

wscript.exe用のマニフェストを書くより簡単に、WSH(VBScript/JScript)でRegistration-Free COMを使うための汎用ツールを開発中。

一つ前の記事の６つ目のコメントで書いたアイデアをプログラミングするだけである。が、そこで述べた『簡単なIDispatchクラス』が実際には簡単ではなく、ちゃんと仕様にのっとって記述しないと機能しないようで、その部分で今手間取っている。これが済めば、ほぼ出来上がり。

完成すれば、OyagameやSFC miniといった私の作成したCOMツールだけでなく、どのようなCOMでも、CLSIDとDLLファイル名を記述するだけで、レジストリに登録することなくVBScript/JScriptで使えるようになる（はず）。

Script Users' and Programmers' Private Object Navigationの略で、Supponと命名した。Oyagameとの亀つながりということで…。