Iceweasel 128.5.0esr on Haiku OS R1/beta5

https://www.haiku-os.org/blog/waddlesplash/2025-01-13-haiku_activity_contract_report_december_2024/

やろうやろうと思って、試してなかった。
でも、Iceweasel自体を触る事は今までなかったんで、これはせっかくの機会。



導入手順は本当に単純で、
HaikuDepotのAll Packageに存在するから探してインストールするだけ。
なんか今Featured Packageにもあるけど。安定してないのに注目させていいのか。
だがインストールに時間がかかるし、
またVMのメモリを4GBに設定している性か、
実行時めちゃくちゃ重たい。
一度やったらなんか本当に画面遷移すらしてくれなく、
ダメ元で今日やったら自サイトが無事に開けた。
人生、我慢が大事だ。

しかし、これが大成すればHaiku OSは最先端のレンタリングエンジンを得る。
そのため、私は非常に期待感を持ってこのプロジェクトを見ている。
まぁHaikuにはFalconもあるにはあるが、いかんせんChromiumが80番台なんでね。
でも、Iceweaselをもってしてもhsp3dishのゲームは開かなかったんですよね。解せぬ。
競馬伝は動いたんだけど。

無論、今は文句を言っても意味がない段階。気長に待ちましょう。 
 

Mulancha 2.1.5

https://munet.x0.to/create/lzh/other07.html

こんな問題がバズっておりました。

Windows の Win32 ANSI API (末尾に A がつくやつ) が非 Unicode を CP932 や CP1252 に変換する際「見た目が似てる ASCII 範囲の文字」に暗黙的に変換する仕様を突くと引数のエスケープを突破してコマンドインジェクションし放題、という最悪レベルの脆弱性らしい　終わりやhttps://t.co/fVbczq1YsN…

— Torishima / INTP (@izutorishima) January 10, 2025

ソフトウェア作者側で取れる対策としては、
暫定的ではありますが、
くだんのANSI APIをUnicode APIに切り替える事が考えられます。
っつーか、適切なアドバイザリが存在しない(ように見受けられる)以上、
他にやることはなさそうです。
なお、利用しているライブラリがANSI API使ってるのであれば、残念でした。
やることはありますが対策は取れません。
そもそもANSI API使っていなければ良いんですが、
お生憎様、HSP3で作成したmlc2はモロに使っております。

今回見直す必要があるのは、#uselib関係です。
「なんとかA」で終わる関数を探し出し、
「なんとかW」に切り替えます。
念のためですが、該当の関数が存在するかは絶対ぐぐって確認してください。
例えば"GetModuleFileNameA"は"GetModuleFileNameW"になります。
注意点として、ANSIではなくUTF-16が引数となってますんで、
関数に引数として文字列を渡す場合は忘れずにcnvstowをかまし、
関数から返り値として文字列を受け取る場合は同様にcnvwtosをかまします。
この関数はHSP3.6標準なんで、何もしなくても利用可能です。

以上でmlc2上での対策は完結しました。
とりあえずしばらく使用して様子をみますが、
他のソフトウェアでは別の問題が発生する場合もあります。幸運を祈ります。

として対策をしたものの、実際にmlc2を利用して本脆弱性を悪用する場合は
PCを乗っ取る必要があるんで、そもそもこんな対策を打つ必要はないように見受けられます。
しかし万が一のこともありますし、セキュリティの常識が今後変わる可能性もありますんで、
やっといて損はないと思います。