1.5.8.2 の変更点（先行対策版）
先行配布日: 2026年10月13日。1.5.8系にLDAP認証の脆弱性修正を入れた先行対策版です。一般公開向けの 1.5.9.1 と同等のLDAP認証修正が入っています。
1.5.9.0はこの修正を含みません
1.5.8.2から 1.5.9.0 へ更新すると、LDAP認証の修正が含まれない状態に戻ります。版番号だけで更新先を判断せず、修正を含む1.5.9.1の変更点を確認してください。
機能追加・仕様変更
LDAP認証の対策を目的とする版です。1.5.9.0で追加された権限ビューア・MoveSite APIなどの機能追加とは別に扱います。
不具合修正
- 認証・セキュリティ — LDAP認証で、特定条件下にパスワードを正しく検証せずログインを許可する問題を修正。
修正の詳細
Ldap.Authenticate() と LdapNovellDs.Authenticate() の冒頭で、入力パスワードが null または空文字列なら false を返します。共通入口はプロバイダーの選択前、Novell実装は接続設定を走査する前に拒否します。
このため、空のパスワードをLDAP接続・ユーザー検索・ユーザーDNでのBindへ渡しません。空でないパスワードは既存の認証処理へ進みます。通常のログイン画面から行うLDAPログインの手順を変える機能ではありません。
同等の拒否処理が公開ソースで確認できるのは、1.5.9.1の 共通入口 と Novell実装 です。1.5.8.2の内容は配布モジュールで確認しています。これらのリンクを1.5.8.2の公開ソースとして扱っているわけではありません。
バージョンの関係
| バージョン | 位置付け | 今回のLDAP認証修正 |
|---|---|---|
| 1.5.8.1 | 1.5.8系の通常版 | 含まない |
| 1.5.8.2 | 1.5.8系向けの先行対策版 | 含む |
| 1.5.9.0 | 機能追加を含む通常版 | 含まない |
| 1.5.9.1 | 一般公開向けの対策版 | 含む |
1.5.8.2と1.5.9.1で同等なのは、ここで確認したLDAP認証の修正です。両版の機能・プログラム全体が同じという意味ではありません。
設定構造の比較
配布物を1.5.8.1と照合し、パラメータJSON 138ファイル、DB列定義JSON 506ファイル、設定クラス79個の内容が一致することを確認しました。比較データでは、確認した1.5.8.1のパラメータ・DB列・SiteSettingsを引き継ぎ、1.5.8.2を先行対策版として区別します。
バージョン間機能比較でも1.5.8.2を選べます。API仕様書の版選択は公開ソースで経路・条件を確認した版を対象としているため、公開ソースを確認できない1.5.8.2は含めていません。
LDAPサーバーに接続した実機での再現・回帰試験は行っていません。更新後は、正しいパスワードでのログインと、誤ったパスワード・空のパスワードの拒否を確認してください。