安全なプレビューNo.08819
らる さん 20/09/18 11:05
 
またプレビューのことですみません。
秀丸メールには安全なプレビューという低整合性レベルのプロセス上で
プレビューする機能がありますが秀丸ファイラーClassicのプレビューも同じ原理な
のでしょうか?

[ ]
RE:08819 安全なプレビューNo.08820
秀丸担当 さん 20/09/18 11:43
 

秀丸ファイラーClassicのプレビューは、幾つか種類があって、プレビューハンドラ
として動作していて、かつプレビューハンドラが低整合性レベルに対応している場合
に、そうなります。

例えば、画像はプレビューハンドラではなくて、自前で描画しています。

htmlはプレビューハンドラで、外部のEXEが嵌っています。
htmlのプレビューハンドラは、低整合性レベルに対応していて、低整合性レベルとし
て動作します。

動画ファイルでWMP(Windows Media Player)のEXEが嵌るような場合は、プレビューハ
ンドラです。
WMPのプレビューハンドラは、低整合性レベルに対応していないので、低整合性レベ
ルとしては動作しないです。

それが低整合性レベルのプロセスかどうかを判別するのは、普通ではできないと思い
ます。
MicrosoftのProcess Explorerを入れて、プロセスの一覧から、プレビューしたその
ときにプロセス(EXE)が発生して、IntegrityがLowになっているかどうかで判別でき
ます。
htmlのプレビューハンドラの場合、prevhost.exeが派生して、IntegrityがLowとして
動作します。

[ ]
RE:08820 安全なプレビューNo.08821
らる さん 20/09/18 12:14
 
技術的な解説ありがとうございます。

もしWindowsのまだ未知なるプレビュー関連の脆弱性の影響を受けないように
設定するとしたら「プレビューの方法」を画像ファイル(jpeg png gif)とテキストフ
ァイルとhtmlファイル以外の拡張子を「なし」に設定するのが危険が少ないのでしょ
うか?
今気づいたのですが特定の拡張子だけプレビューする設定がないので
上記の方法はすごく大変になりますね;;

[ ]
RE:08821 安全なプレビューNo.08822
秀丸担当 さん 20/09/18 14:39
 

未知の脆弱性をできるだけ少なくする場合、そのほうがいいと思います。
すべての拡張子でプレビューをなしにしてから、htmlだけ有効にするのは難しかった
です。
拡張子はワイルドカードで「*」のように記述できるようにしようと思います。

[ ]
RE:08822 安全なプレビューNo.08823
らる さん 20/09/19 12:44
 
ホワイトリストモードかブラックリストモードどちらかをユーザーが選べるはどうで
しょうか?
ホワイトリストモードを選んだ場合はリストに登録した拡張子しかプレビューしない
みたいな。

[ ]
RE:08823 安全なプレビューNo.08827
秀丸担当 さん 20/09/23 10:13
 

ホワイトリストモードかブラックリストモードという方法でもいいと思います。
V1.54β4においては、「.*」のように指定できるようにしてみています。
これを下位にもってくると、近い感じに使えると思います。
でもブラックリストにはならないので、モードの切り替えもあったらいいかもしれま
せん。

[ ]
RE:08827 安全なプレビューNo.08828
ヒラメ さん 20/09/23 10:21
 
>ホワイトリストモードかブラックリストモードという方法でもいいと思います。

こちらもし実装予定でしたら、名称については変更されるといいかと思います。英語
版もあることですし、ホワイト/ブラックを使うのは問題になりそうな気がしま
す・・・。

[ ]
RE:08828 安全なプレビューNo.08829
秀丸担当 さん 20/09/23 10:51
 

確かに最近は名前を変えたほうがよさそうでした。
代わりの言葉を検索してみたら、セーフリストとかブロックリストとかあったのです
が、よく考えたらプレビューのルールはセーフとかブロックというわけではなく、種
類を選ぶものなので、現状のワイルドカードだけでいい気がしてきました。

[ ]