From: MoonWolf <moonwolf@...>
Date: 2006-11-04T16:24:12+09:00
Subject: [ruby-dev:29786] Re: cgi.rbのDoS脆弱性について

MoonWolfです。

U.Nakamura wrote:
> | http://www.ruby-lang.org/ja/news/2006/11/02/CVE-2006-5467/
> | に書かれている対応方法では対策の終了条件が間違っているから
> | 無限ループになりませんか?
> | 1.9系では書いてある対策をとればきちんと終了するのですが。
> 
> ごめんなさい、意味がわかりません。
> パッチが間違っている?
> パッチは間違っていないけど記述が間違っている?

1.8.5にいくらパッチをあてても1.8.5です。
1.8.5であれば脆弱性のあるバージョンですからパッチを当てる必要があります。
どうやって対策の作業が終わったことを確認できるのですか?
対策の作業者と確認する人が別人である場合、対策の作業者のミスと
とられませんか?

1.9系ではruby -vの出力で9/23以降のバージョンであることを確認すれば
脆弱性のあるバージョンという条件をクリアするので終了することができます。

> そう取られたのは、私の書き方が悪かったせいもあるでしょうから、
> その点は申し訳ありませんが、私は「お題を提供」しただけで、全
> 然まとめをしたつもりはありません。
> それまでの議論で出た意見を白紙にしたわけでもなくて、単に全て
> を列挙する手間がめんどくさかったから、細かい意見を(3)に集約し
> て省略しただけです。

書き方が悪かったと認めているのですね。
じゃあいいです。

> | > Rubyの脆弱性に対する対応全般についての一貫したポリシーについ
> | > ては、私にはそれを語る気はありません。だって知らないし。
> | 
> | みんな知りませんね。誰が知っているんだろう?
> | 公式サイトを見る限りsecurity@ruby-lang.orgが知っているように見えますが
> | 実際にはまつもとさんの独断で行われているわけだし。。。
> 
> 実際がどうかは知りませんが、一貫したポリシーがないので、毎回
> 個別に対応している、というあたりが妥当な推測ではないかと思い
> ます。
> 一貫したポリシーを出せ、とか、ないなら作れ、とか、こうしろ、
> とかいう話は当然あってもいいでしょうが、それはやっぱり別の話。

ケースバイケースといえば聞こえは良いですが、場当たりな対応といわれればそ
れまででしょう?
ポリシーがあって個別に対応するのであれば、まあ納得できるのですけど。
とりあえず一貫したポリシーを出してください。その作業にどの程度の優先度で
リソースを割り当てるかはお任せしますけど、独断ではなく組織として議論した
うえで決定してください。

# 私の意見はまつもとさんやU.Nakamuraさんといった個人に対して
# 攻撃することを意図したものではないことをご理解ください。
# 「せっかく俺が作ったパッチに文句ばっかりつけやがって」という気持ちも
# わからなくはありませんけど^^;