Jellyfinは、オープンソースのメディアサーバーの大型アップデートとなるバージョン12.0をリリースしました。今回のアップデートには、サーバーとWebクライアントの両方に影響する幅広いプラットフォーム改善と重要なセキュリティ更新が含まれています。
プロジェクト側は、データベースの移行や既存環境との互換性を損なう変更が含まれているため、管理者に対してアップグレードを慎重に計画するよう強く推奨しています。
Jellyfin 12.0リリース
今回のアップデートに含まれるセキュリティ修正により、細工されたリクエストがJellyfinの指定ディレクトリ外のファイルにアクセスすることを防止します。
さらに、設定に不備があるインスタンスでセットアップウィザードが不正に再実行されるのを防ぐほか、安全でない名前のプラグインパッケージを拒否し、ペアレンタルコントロールの適用を強化しています。加えて、ブラウザ経由の管理業務やメディアアクセスの操作に影響するWebクライアントのクロスサイトスクリプティング脆弱性にも対応しています。
今回のアップデートは通常のインプレースパッチではありません。Jellyfin 12.0はデータベーススキーマを変更し、初回起動時にデータを書き換えるため、以前のバージョンに戻す唯一の方法はバックアップからの復元となります。管理者はアップグレード作業を始める前に、サービスを停止し、データおよび設定ディレクトリを手動でバックアップしておく必要があります。
データ盗難防止
サポート対象のアップグレード経路は、Jellyfinバージョン10.10.7、または10.11.xの各バージョンから始まります。それより古いバージョンを実行しているインストール環境は、まず10.10.7へアップグレードする必要があります。
また、ユーザー名は今後大文字・小文字を区別しなくなるため、管理者は英字の大小のみが異なるユーザー名を持つアカウントがないか事前に確認しておく必要があります。ユーザー名が重複していると、初回処理時にデータベースの移行が失敗してしまいます。
移行完了後には、ライブラリの全体スキャンが必要です。代替バージョンのストレージモデルを正しく保つため、Jellyfinは自動的にグループ化されたバージョンを一旦クリアし、ディスク上のファイルから再構築します。
初回スキャンには通常より時間がかかる場合があり、一部のタイトルが新規追加として分類されることもあります。また、移行処理が進行中は中断しないようにする必要があります。
Jellyfinはまた、従来の/emby/および/mediabrowser/のアドレスを廃止し、非推奨の認証方式についてもデフォルトで無効化しました。これにより、メンテナンスされていないクライアントや連携システムにはリスクが生じます。
サーバーは現在バージョン12.0.0として報告されるようになり、更新されたOpenAPI出力もデプロイ前に再生成する必要があるため、バージョン文字列を解析したり、従来のルートを使用したり、SDKを生成したりするソフトウェアについては、開発者によるテストが推奨されます。
プラグイン開発者は、別途行われるプラグイン移行についても留意が必要です。サーバーは今後.NET 10をターゲットとしており、複数のインターフェースが変更されています。バージョン10.11向けにビルドされたプラグインは、ターゲットを変更した上で再ビルドする必要があります。
Jellyfinは、管理者に対してアップグレード前にサードパーティ製プラグインを削除し、アップグレード完了後に互換性のあるバージョンのみを復元するよう推奨しています。なお、公式プラグインはすでにバージョン12.0への対応が完了しています。
セキュリティ面の改善に加え、バージョン12.0ではプレイリストとコレクションが再構成され、各アイテムがデータベース上で個別の行として保存されるようになりました。
この変更により、大規模なリストにおけるページネーション、件数カウント、編集機能の向上とともに、インターフェースのフリーズ低減が期待されます。今回のリリースではまた、代替バージョンのグループ化機能がテレビ番組のエピソードにも拡張されたほか、書籍やコミックへの対応が追加され、モダンなレイアウトが採用されています。
インターネットに公開されている環境については、プロジェクト側は引き続きJellyfinをリバースプロキシの背後に配置することを推奨しています。内部TLS/SSLの廃止は延期されましたが、これは移行にかかる時間が増えるだけであり、ベストプラクティス自体に変更はありません。
組織は、アップグレードを段階的に実施し、クライアントの設定を検証し、初回起動時の移行状況を監視した上でライブラリを再スキャンし、必要に応じてアップグレード完了後にキャッシュをクリアすることが望まれます。
SOCを最新の状態に保ち、出現から24時間以内にアクティブなマルウェアやフィッシングの情報を把握しましょう。 ANYRUNを試して、早期検知でインシデントを未然に防ぎましょう。
マルウェア分析ツール
翻訳元: https://gbhackers.com/jellyfin-12-0-released-with-security-fixes/
