セキュリティ
CakePHP 2.x は 2021年6月にサポートが終了し、CakePHP チームによるセキュリティ修正のリリースも 終了しました。pieceofcake2 のフォークでは、CakePHP 2.x に影響する脆弱性の修正を続けています。 このセクションでは、セキュリティ修正の対象となるバージョン、脆弱性の報告方法、修正した脆弱性、 そして CakePHP 2 のアプリケーションを安全に運用するための設定を説明します。
- 脆弱性の報告: セキュリティの問題を非公開で報告する方法と、報告した後の流れ
- 脆弱性への対応: フォークで修正した脆弱性と、アプリケーション側で必要な対応
- 本家のアドバイザリ: CakePHP 2.x に関係する本家 CakePHP のアドバイザリへの対応状況
- セキュリティチェックリスト: 本番環境で運用する前に確認する設定
サポートするバージョン
pieceofcake2 Organization の セキュリティポリシー は、独自の SECURITY.md を持つリポジトリを除き、pieceofcake2/cakephp やプラグインのフォークを含む Organization のすべてのリポジトリに適用されます。ポリシーには次のように定められています。
- セキュリティ修正は、各パッケージの最新のリリースに対して提供します。
pieceofcake2/cakephpの場合は、2.xの最新のリリースです。 - 本家の CakePHP 2.x で見つかった脆弱性のうち、フォークにも影響するものは対象に含みます。
これまでのセキュリティ修正は、2.12.3 や 2.12.5 のように、現在のマイナーバージョンのパッチリリースとして リリースしています。修正を適用するには、アプリケーションを最新のリリースに保ってください。
bash
composer update pieceofcake2/cakephp本家の cakephp/cakephp 2.10.24 を使っているアプリケーションには、修正は提供されません。 pieceofcake2/cakephp への切り替えについては CakePHP 2.10 からの移行 を参照してください。
修正の告知
脆弱性を修正したときは、次の場所で告知します。
- GitHub のセキュリティアドバイザリ。 影響を受けるリポジトリでアドバイザリを公開します。 たとえば pieceofcake2/cakephp の Security Advisories のページです。アドバイザリには、影響を受けるバージョンと修正したバージョンを記載します。 必要に応じて CVE も申請します。
- CHANGELOG。 CHANGELOG.md のリリースノートに「Security Fixes」のセクションを設け、アドバイザリへのリンクを記載します。 アプリケーション側で必要な変更は UPGRADE.md で説明します。
- このドキュメント。 脆弱性への対応 に、修正したすべての脆弱性の説明と アプリケーション側で必要な対応をまとめています。各リリースの変更点は CakePHP 2.10 からの移行 で説明しています。
新しいリリースの通知を受け取るには、GitHub で pieceofcake2/cakephp リポジトリを Watch してください (Watch > Custom > Releases)。