[ruby-dev:25135] Re: SecurityError in webrick/cgi

In message <[e-mail]>,
 `Minero Aoki <[e-mail]>' wrote:
> 情報が足りなかったので再度投げます。

ああ、ようやく理解できました。

% ruby19 -ve '$SAFE=1;p ENV[ENV.keys[0]]'
ruby 1.9.0 (2004-12-08) [i386-netbsd]
-e:1:in `[]': Insecure operation - [] (SecurityError)
        from -e:1

ということなんですね。この使い方だと引っかかるものがあります
が、納得できる動作だと思います。

> しかたがないので次のように変更したら、やっと通りました。
> 
> --- lib/webrick/cgi.rb.org      2004-12-08 22:16:27.000000000 +0900
> +++ lib/webrick/cgi.rb  2004-12-08 22:17:39.000000000 +0900
> @@ -161,6 +161,7 @@ module WEBrick
>          add_header("CONTENT_TYPE", "Content-Type")
>          add_header("CONTENT_LENGTH", "Content-length")
>          @env.each_key{|name|
> +          name = name.dup.untaint
>            if /^HTTP_(.*)/ =~ name
>              add_header(name, $1.gsub(/_/, "-"))
>            end

それもあんまりなので、こうしようかと思います。

Index: lib/webrick/cgi.rb
===================================================================
RCS file: /var/cvs/src/ruby/lib/webrick/cgi.rb,v
retrieving revision 1.6
diff -u -p -F^[^A-Za-z0-9_+-]*\(class\|module\|def\)[^A-Za-z0-9_+-] -r1.6 cgi.rb
--- lib/webrick/cgi.rb	16 Sep 2004 09:14:09 -0000	1.6
+++ lib/webrick/cgi.rb	8 Dec 2004 16:38:06 -0000
@@ -158,20 +158,19 @@       def request_line
       end
   
       def setup_header
-        add_header("CONTENT_TYPE", "Content-Type")
-        add_header("CONTENT_LENGTH", "Content-length")
-        @env.each_key{|name|
-          if /^HTTP_(.*)/ =~ name
-            add_header(name, $1.gsub(/_/, "-"))
+        @env.each{|key, value|
+          case key
+          when "CONTENT_TYPE", "CONTENT_LENGTH"
+            add_header(key.gsub(/_/, "-"), value)
+          when /^HTTP_(.*)/
+            add_header($1.gsub(/_/, "-"), value)
           end
         }
       end
   
-      def add_header(envname, hdrname)
-        if value = @env[envname]
-          unless value.empty?
-            @header_part << hdrname << ": " << value << CRLF
-          end
+      def add_header(hdrname, value)
+        unless value.empty?
+          @header_part << hdrname << ": " << value << CRLF
         end
       end

しかし、あまり無理矢理な感じはしなくなったものの、
WEBrick::HTTPRequest#meta_varsに汚染フラグが伝播しないので結
局のところ大差ないのかもしれません。

そもそも伝播させるべきなのか、だとしたらそれはWEBrick側です
べて面倒を見るべきなのか迷ったのですが、どうするのがいいんで
しょう。
 
-- 
ごとうゆうぞう