From: Takahiro Kambe <taca@...>
Date: 2006-11-02T23:07:57+09:00
Subject: [ruby-dev:29746] Re: cgi.rbのDoS脆弱性について

In message <4549F2CA.7000802@moonwolf.com>
	on Thu, 2 Nov 2006 22:29:48 +0900,
	MoonWolf <moonwolf@moonwolf.com> wrote:
> やっとWebに掲載されましたね。
> おつかれさまでした。と、言いたいところですが、まだいくつか問題があります。
> 
> * パッチがあたっているかどうかruby -vやRUBY_RELEASE_DATEで区別できない。
>   * CGI::REVISIONでなんとか判別可能
これですが、CVSのキーワード展開されたものは、pkgsrcやportsのようなCVS
で管理しているシステムで、ちょっと扱いにくい部分があります。

>     * パッチを当てたファイルは1.68.2.18になるが、CVSから取得できる
>       1.68.2.18とは実体が異なる(1.68.2.17の変更が含まれていない)ので
>       混乱の元である。
そういう意味では、CGI::REVISIONは当てにはならないということです。

>   * シェルが開放されていないサーバだと大変。
レンタルサーバ?  そういった場合は、そのサーバでシェルを使える管理者が
きちんと更新すべきではないのかしら?

> * パッチのmd5sumがない。
> * パッチのミラーがない。
>   * cvsweb.cgiによる動的な出力では心もとない。静的なファイルとして
>     きちんとミラーされる場所に置いて欲しい。
これは私もその方が良いと思います。

> * 1.8.5がリリースされたのは2006/8/25なのに、2006/9/4とのdiffである。
>   * 1.68.2.17の変更がパッチに現れなかったのは偶然?
おそらく、今回のセキュリティの問題に直接関係のない、互換性を損なう恐れ
があるnkfに関する変更が1.68.2.17で行われているためでしょう。セキュリティ
対応のパッチのためであれば、ちょうど1.68.2.17と1.68.2.18の差分でちょう
ど良いことになります。

-- 
神戸 隆博 / Takahiro Kambe