From: Shugo Maeda <shugo@...>
Date: 2006-11-04T11:43:53+09:00
Subject: [ruby-dev:29772] Re: cgi.rbのDoS脆弱性について

前田です。

Yukihiro Matsumoto wrote:
> |　これから 1.8.5 環境を使うユーザに対して脆弱性が残っている 
> |ruby-1.8.5.tar.gz をダウンロードし、パッチを当てて... という作業をさせる
> |にしても、ダウンロードページにはそのような文言がありません。
> 
> 一番最初に述べた通り、DoS脆弱性は優先度が低いのでこのような
> 対応はとらなくてもだいじょうぶかな、と考えています。より重大
> な問題が発生すれば、1.8.6を出します。

まつもとさんにとっては「優先度が低い」かもしれませんが、利用する
人によって事情は異なるので、1.8.5.1みたいな形で修正版があった方が
よいとは思います。
# とくにバイナリパッケージを使っていない人にとっては。

脆弱性の修正を適用した緊急リリースの手順をこの際決めてしまった方
が、リリースしない理由を説明したり、Webなどで現状のリリース版
の問題点を告知するよりも、最終的にはコストが低かったりしないで
しょうか。
そういうリリース作業であれば、まつもとさんでなくともできる作業だと
思いますし。

-- 
前田 修吾