From: Takahiro Kambe <taca@...>
Date: 2004-08-21T00:54:16+09:00
Subject: [ruby-dev:24147] Re: CGI::Session has security problem?

In message <1092996661.773196.15391.nullmailer@picachu.netlab.jp>
	on Fri, 20 Aug 2004 19:19:12 +0900,
	matz@ruby-lang.org (Yukihiro Matsumoto) wrote:
> |こんなが出てると教えて貰いました。直している内容は、FileStoreのファイ
> |ルを作成するところで、ファイルのアクセス権を明示的に指定して他のユーザ
> |が読めないようにしているようです。
> 
> 1.8.2,CVS上の1.6.8、HEADでは直してあります。そのはずです。
あぁ、確認しました。ありがとうございます。

anonymous CVSとかの存在を忘れてました。(今、つながらないみたいです、
connection refusedで。)

> ただねえ、CGI::Sessionを使うようなCGIではちゃんとumask指定し
> てよ、という気はしないでもないです。でないと、fopen()とかで
> ファイルを作ったら終わりですよね。
気持ちはわからなくありませんが、umaskの設定に依存すべきではないでしょ
う。古くはUNIX Network Programmingあたりで「デーモン化するときにumask
の設定を受けないようにするために、明示的にumask(0)すべし」といったこと
も書かれていたと記憶しています。

もちろん、CGI::Sessionはデーモンとなるためではありませんが、ライブラリ
的な関数は呼び出し側のumask設定に依存すべきではないと思います。

-- 
神戸 隆博 / Takahiro Kambe