From: matz@... (Yukihiro Matsumoto)
Date: 1998-03-25T13:09:24+09:00
Subject: [ruby-dev:1919] Re: RUBYLIB and default path problem

まつもと ゆきひろです

In message "[ruby-dev:1916] Re: RUBYLIB and default path problem"
    on 98/03/25, 石塚圭樹 <keiju@rational.com> writes:

|けいじゅ＠日本ラショナルソフトウェアです.

|``.''や相対パスでのパス指定は(思わぬものをロードしてしまう可能性がある
|という)セキュリティ上の問題があるというのは理解できますが, 絶対パス上
|にあるものに関してはそういう問題ってないと思うんですが?

まず，現状では絶対パスであることを確認しているわけではないの
で，その点からいってもRUBYLIBが安全でないですね．

また，たとえ確認したとしても，悪意のあるユーザが安全でないディ
レクトリを(絶対パスで)環境変数RUBYLIBに含めてスクリプトを起
動される危険性があるので，避けられません．

|それとも, 私の理解が間違っている?

たぶん．もっともsuid rubyでなければほとんど問題は無いでしょ
うけどね．
                                まつもと ゆきひろ /:|)