From: Shugo Maeda <shugo@...>
Date: 2004-08-24T14:22:34+09:00
Subject: [ruby-dev:24163] Re: CGI::Session::FileStore should not use Dir::tmpdir

前田です。

Yukihiro Matsumoto wrote:
> |/tmpだったらファイル名は見えますよね。
>
> 見えることが問題なんでしょうか。
>
> ファイル名から簡単にセッションIDが推測できることが問題なのか
> なあ。

はい、そうです。

http://japan.linux.com/security/04/08/23/141205.shtmlの

>8/20/2004  	ruby
>		安全でないファイル権限
>
>この弱点により、Webサーバにシェルアクセスできる攻撃者が、セッションを
乗っ取ることが可能になる。

というのを見て、気付いたんですが。

Yukihiro Matsumoto wrote:
> |IRCで
> |
> |<akr|t> session id を倍にして、増やしたぶんをファイル名じゃなくてファイ
> |ルの中身にいれとくというのはどうかなぁ。
> |
> |という御指摘をいただきました。
> |これがいいんじゃないでしょうか。
> 
> これによって、なにがどう解決するのかよくわからないのですが、
> もうちょっと解説していただけませんでしょうか。

今の状態だと、ファイル名からセッションIDがわかってしまうので、セッション
を乗っ取ることができてしまいますが、上記のようにしておくと、ファイルの中
身まで見ないとセッションIDの全体はわかりませんので、セッションを乗っ取ら
れる心配はなくなると思います。
# Webサーバで同じユーザの権限でCGIを実行できる人なら乗っ取りが可能ですけど。


> オフィスで直接話せというのもありでしょうが。

では、お待ちしています(^_^;

-- 
前田 修吾