From: Yukihiro Matsumoto <matz@...>
Date: 2006-11-01T16:05:17+09:00
Subject: [ruby-dev:29728] Re: cgi.rbのDoS脆弱性について

まつもと ゆきひろです

In message "Re: [ruby-dev:29726] cgi.rbのDoS脆弱性について"
    on Wed, 1 Nov 2006 03:12:17 +0900, MoonWolf <moonwolf@moonwolf.com> writes:

|cgi.rbにマルチパート処理時のDoS脆弱性があるという報告(CVE-2006-5467)を
|読みました。
|
|http://rubyforge.org/pipermail/mongrel-users/2006-October/001946.html
|http://en.securitylab.ru/nvd/276121.php
|http://www.frsirt.com/english/CVE-2006-5467.php
|
|CVSをみると9/23に修正されていますね。
|1ヶ月以上経つのにアナウンスなしというのは、脆弱性として認めていないから
|でしょうか?

脆弱性として認めていないわけではないですが、この種のDoS脆弱
性は他のものよりも優先度は低いと考えてはいます。正直、こちら
の限られたリソースを割きたくないです。ですから、

|どのように対応する予定ですか?
|
|(a)1.8.5に最低限のパッチを当てたものをリリースする
|  * バージョンは1.8.6? 1.8.5.1? 1.8.5p1?
|(b)1.8.6をリリースするまでパッチのみで対応する
|  * ディストリビュータにパッチ済みバイナリを作ってもらうよう
|    お願いしないといけない?
|  * Mandriva,FedoraはすでにFixしたものを提供しています。
|  * ちなみにDebian unstableのRubyはパッチがあたっていません。
|    ruby 1.8.5 (2006-08-25) [i486-linux]

上の分類では(b)です。またこちらからディストリビュータになに
か依頼する予定もありません。

|以下、cgi.rbをざっと眺めた感想です。

検討してはみます。パッチなどがあれば歓迎します。