v1.0.49

変更内容

1.0.48〜1.0.49 の変更をまとめています。どれもセキュリティの強化です。早めの更新をおすすめします。

• z2-* コマンドの受付口を、他のアプリから見えない場所へ移しました（1.0.48）。 z2-* コマンドがアプリに頼みごとを渡す受付口は、これまで共有ストレージ（Android/data の中）にあり、本人確認がありませんでした。そのため、Android 10 で保存の権限を持つアプリ、Android/data へのアクセスを許したファイル管理アプリ、USB でつないだパソコンからも、タブへの打ち込みと実行・画面の読み取り・z2-ui での操作を頼めてしまいました。
  • 受付口はアプリ専用の場所に置き、アプリを起動するたびに作り直す合言葉の付いた頼みごとしか受けません。
  • 端末からの使い方は変わりません（/storage/app/z2api という場所もそのままです）。
  • 更新の前から開いていたタブで z2-* が断られたら、タブを開き直してください。
• バックアップを戻すとき、自動で動く設定は止めた状態で入るようにしました（1.0.49）。 自動化ルール・常駐サーバー・エッジパネルはオフで入り、端末起動時の自動起動と新しいタブの初期コマンドは戻しません。他人から受け取ったバックアップに仕込まれたコマンドが、中身を見る前に動き出さないようにするためです。
  • 戻した後に、止めた件数が出ます。
  • 自分のバックアップなら「自動で動く設定もそのまま有効にする」を付けると、元どおりに戻ります。
  • 戻す前に出る件数も、暗号化していないものは中身から数え直すようにしました。
• 常駐サーバーの HTTP のプリセットを、スマホの中だけで待ち受ける形にしました（1.0.49）。 見せるのは ~/public の中だけです。これまでは同じ Wi-Fi の誰にでも、パスワードなしで起動したフォルダの中身（ホームなら ~/.ssh も）を見せていました。同じ Wi-Fi の機器から見たいときは --bind 0.0.0.0 に書き換えてください。すでに登録したサーバーは変わりません。
• 脆弱性の報告方法を SECURITY.md にまとめました。 セキュリティの問題は公開の Issue ではなく、Security タブの「Report a vulnerability」から非公開で知らせてください。

Changes

This release collects the changes from 1.0.48 to 1.0.49, all security hardening. Updating soon is recommended.

• The intake for z2-* commands moved somewhere other apps cannot see (1.0.48). The intake through which z2-* commands hand requests to the app was in shared storage (inside Android/data) with no check of who wrote the request. Apps with the storage permission on Android 10, file managers given access to Android/data and a PC connected over USB could therefore ask it to type into a tab and run it, read the screen, or operate apps through z2-ui.
  • The intake now lives in the app-private area and only accepts requests carrying a token that is recreated every time the app starts.
  • Nothing changes in how you use it from the terminal (the /storage/app/z2api path stays).
  • If z2-* is refused in a tab that was open before the update, open the tab again.
• Restoring a backup brings automatic settings in stopped (1.0.49). Automation rules, resident servers and edge panels arrive off, and the auto-start at boot and the new-tab start command are not restored, so commands planted in a backup from someone else cannot start before you have looked at them.
  • The screen tells you how many were left stopped.
  • For your own backup, tick "Keep automatic settings running" to restore them as they were.
  • The counts shown before restoring are now recounted from the contents for unencrypted backups.
• The HTTP preset for resident servers now listens on the phone only (1.0.49) and serves just ~/public. Before, it showed the folder it started in (your home, ~/.ssh included) to anyone on the same Wi-Fi without a password. To reach it from other devices on the Wi-Fi, change it to --bind 0.0.0.0. Servers you already added are unchanged.
• How to report a vulnerability is now in SECURITY.md. Please report security problems privately through "Report a vulnerability" on the Security tab, not in a public issue.

Full Changelog: v1.0.47...v1.0.49