[ruby-dev:25131] Re: SecurityError in webrick/cgi

青木です。

情報が足りなかったので再度投げます。

CVS HEAD の ruby で、webrick/cgi を使った CGI アプリケーションを
$SAFE=1 で動かすと、以下のように webrick/cgi 内で落ちます。

./lib/webrick/cgi.rb:140:in `initialize': invalid CGI environment (WEBrick::CGI::CGIError)
        from ./lib/webrick/cgi.rb:43:in `new'
        from ./lib/webrick/cgi.rb:43:in `start'
        from hello.cgi:13
[Wed Dec  8 22:20:35 2004] [error] [client 127.0.0.1] Premature end of script headers: /home/aamine/public_html/bc/hello.cgi

CGI アプリケーションには sample/webrick/hello.cgi を
少し書きかえて使いました。内容は以下の通りです。

  #!/usr/bin/env ruby
  $LOAD_PATH.unshift './lib'
  require "webrick/cgi"

  class HelloCGI < WEBrick::CGI
    def do_GET(req, res)
      res["content-type"] = "text/plain"
      res.body = "Hello, world.\n"
    end
  end

  $SAFE = 1
  HelloCGI.new.start

また、webrick/cgi を手元にコピーして 157 行目の rescue を
消してみると次のようになりました。

./lib/webrick/cgi.rb:171:in `[]': Insecure operation - [] (SecurityError)
        from ./lib/webrick/cgi.rb:171:in `add_header'
        from ./lib/webrick/cgi.rb:165:in `setup_header'
        from ./lib/webrick/cgi.rb:163:in `each_key'
        from ./lib/webrick/cgi.rb:163:in `setup_header'
        from ./lib/webrick/cgi.rb:136:in `initialize'
        from ./lib/webrick/cgi.rb:43:in `new'
        from ./lib/webrick/cgi.rb:43:in `start'
        from hello.cgi:13
[Wed Dec  8 22:21:59 2004] [error] [client 127.0.0.1] Premature end of script headers: /home/aamine/public_html/bc/hello.cgi

じゃあ WEBrick::CGI#setup_header で untaint すればいいのかと思い
試してみると、今度は次のようなエラーになりました。

./lib/webrick/cgi.rb:164:in `untaint': can't modify frozen object (RuntimeError)
        from ./lib/webrick/cgi.rb:164:in `setup_header'
        from ./lib/webrick/cgi.rb:163:in `each_key'
        from ./lib/webrick/cgi.rb:163:in `setup_header'
        from ./lib/webrick/cgi.rb:136:in `initialize'
        from ./lib/webrick/cgi.rb:43:in `new'
        from ./lib/webrick/cgi.rb:43:in `start'
        from hello.cgi:13
[Wed Dec  8 22:22:56 2004] [error] [client 127.0.0.1] Premature end of script headers: /home/aamine/public_html/bc/hello.cgi

しかたがないので次のように変更したら、やっと通りました。

--- lib/webrick/cgi.rb.org      2004-12-08 22:16:27.000000000 +0900
+++ lib/webrick/cgi.rb  2004-12-08 22:17:39.000000000 +0900
@@ -161,6 +161,7 @@ module WEBrick
         add_header("CONTENT_TYPE", "Content-Type")
         add_header("CONTENT_LENGTH", "Content-length")
         @env.each_key{|name|
+          name = name.dup.untaint
           if /^HTTP_(.*)/ =~ name
             add_header(name, $1.gsub(/_/, "-"))
           end

-------------------------------------------------------------------
青木峰郎