From: Yukihiro Matsumoto <matz@...>
Date: 2006-11-06T02:13:41+09:00
Subject: [ruby-dev:29841] Re: cgi.rbのDoS脆弱性について

まつもと ゆきひろです

In message "Re: [ruby-dev:29826] Re: cgi.rbのDoS脆弱性について"
    on Sun, 5 Nov 2006 19:30:31 +0900, MoonWolf <moonwolf@moonwolf.com> writes:

|今回の脆弱性の対応もまだ終了したとみなすには問題があります。
|Webではアナウンスされていますが、ruby-listやruby-talkといったユーザに対
|してのアナウンスがまだなされていません。みんながみんな、Webの更新を
|チェックしているわけではないでしょう。

それって本当に必要なんですか。

CERTに登録されちゃうのはまれですが、実際問題としてはあらゆる
バグのうちかなりの割合はDoSとして「悪用」される可能性があり
ます。それをみんなみんな-talkやら-list やらで報告するのが良
いことのようには思えません。これが特権レベルで任意コードの実
行を許しちゃうような「脆弱性」なら私もそのように行う必要があ
ると思いますけど、今回のようなたまたまCERTに登録されちゃった
というようなケースでそこまでするのはあんまり気が乗りません。
CERTのレポートに対する対応が気になるような意識の高い人は当然
Webを見に行くでしょうし。

|ディストリビュータの対策、アナウンスのほうが公式によるアナウンスより早い
|というのは何かおかしいように思います。

あんまりおかしいと感じない私はずぼらなんでしょうねえ。

|CVSで対策したから終了という感覚はまずいと思います。

そうならないように、patchlevelの話をしているわけなんで。体制
が固まればもうちょっとマシになると思います。

                                まつもと ゆきひろ /:|)