From: Yukihiro Matsumoto <matz@...>
Date: 2005-09-21T02:53:13+09:00
Subject: [ruby-dev:27241] Re: world writable dir with sticky bit

まつもと ゆきひろです

In message "Re: [ruby-dev:27226] world writable dir with sticky bit"
    on Tue, 20 Sep 2005 20:56:46 +0900, sheepman <sheepman@sheepman.sakura.ne.jp> writes:

|環境変数 PATH に含まれているディレクトリが、誰でも書き込み出来て
|かつ sticky bit が立っている場合、
|"Insecure world writable dir" などの警告が出ず、ENV["PATH"] も
|taint されません。これはこういうものなのでしょうか。

|[ruby-list:33981] では
|
|>stickyなディレクトリにあるファイルは所有者以外は削除/変更不可な
|>ので、親ディレクトリについてはsticky bitが立っていたらo+wでも構
|>わないというところでどうでしょうか。PATHに含まれるディレクトリ
|>自身は、今まで通りstickyは関係なし。
|
|とうことになっていたのですが、[ruby-talk:86273] に関連して
|「PATHに含まれるディレクトリ自身は、今まで通りstickyは関係なし」という決まりが
|無効になったようです。

うーむ、現時点で「危険なシナリオ」がさほど現実的に感じられる
わけではないのですが、おかしいのは確かなので直します。