ytsuboi's blog

昨日の朝、クライアントとのミーティングの前にマクドナルドで朝マックを注文しようと、カウンターに
Thinkpad X31の入った鞄を置いて、支払いをしていると、カバンが落下！
たまに落とすことがあるが、壊れても分解して組み立て直せば直っていたので気にせずに
エッグマックマフィンを食べて、ミーティングに。
(いつもよりすごい音がした時点で気づけばよかったのだが。)
ミーティング中にThinkpadを取り出して、電源を入れると、液晶が割れてました。。。orz
ところで、私はこのThinkpadを持ち歩いて、仕事のメインマシンにしていたのです。
で、Thinkpadの画面が見れなくなった≒仕事ができなくなった、ということになるわけで、
取り急ぎ、有楽町のビックカメラに向かい代替機を探すことにしました。
まぁ、Thinkpadは2年近く使っていたわけだし、十分に償却を終えただろうということで、
ついでに使うマシンを変えることにしたわけです。
候補になったのは、Thinkpad X32, Thinkpad X41 Tablet, CF-R4H, CF-W4Hあたり。
Thinkpad X41 Tabletは使ってみたかったのだけれども、HDDが1.8inchで遅そうなので却下。
セカンドマシンには良さそうけれども。
Thinkpad X32は、悪くないけれどもX31と大差ないのでつまらないので、悩む。
W4Hは、ぐらっとくるけれども、2スピンドルで軽いこと以外は、特に今と違いがない。
R4Hは、軽くて、小さくてまぁまぁ速そう。

ということで、勢いも手伝って、CF-R4Hにしました。

使ってみた感じは、(Thinkpad X31と比較してだが)
・軽くて持ち運びやすい
・ファンレスで静かで良い
・キータッチは悪い
・使い慣れないがホイールはいまいち
・Ethnernet (LAN)のチップがRealtekでGbEじゃない
・付属のツールがいまいち
といったところか。
とはいえ、R4Hは小さくて軽くて、なかなか満足です。

PHPの現行リリースに重大な脆弱性（PHP4.4.0以下、PHP5.0.5以下）(yohgaki’s blog)
あたりが詳しいのだが、PHP 4.4.0以前と5.0.5以前にsecurity holeが見つかった。
リモートからPHPスクリプトを実行される可能性がある、というものだ。
影響を受ける環境1

• register_globals=on に設定しているPHP4,PHP5
• 未パッチのPHP http://www.hardened-php.net/advisory_202005.79.html PHP 4.4.0以下、PHP 5.0.5以下

影響を受ける環境2

• parse_str関数を1つの引数のみでユーザが送信したデータに対して使用した場合 http://www.hardened-php.net/advisory_192005.78.html PHP 4.4.0以下、PHP 5.0.5以下

影響を受ける環境3

• import_request_variables等を使ってスコープ内にユーザが送信した変数を初期化しているプログラムを使用している（実装の違いからPHP4とPHP5で影響範囲が違う）

とある様に、”register_globals=on”で運用しているシステムが一番の問題です。
また、”parse_str関数を1つの引数のみでユーザが送信したデータに対して使用した場合”は、
“スクリプトが終了するまで、register_globals=onになってしまう”ので注意すべきです。
“import_request_variables等を使ってスコープ内にユーザが送信した変数を初期化”するような
古いスクリプトをregister_globals=off環境でも動作するように修正したスクリプトを使用していたりした
場合についても注意すべき、ということの様です。
つまり、PHPにpatchを当てるだけではなく、コード自体の見直しも必要だということですね。
ネタ元blogの同氏のWikiにpatchがあります。　$GLOBAL保護パッチ