[ruby-dev:29873] Re: cgi.rbのDoS脆弱性について

こんにちは、なかむら(う)です。

In message "[ruby-dev:29826] Re: cgi.rbのDoS脆弱性について"
    on Nov.05,2006 19:30:31, <[e-mail]> wrote:
| 外野につっこまれる前に内部でレビューを受けるようにするといいと思います。
| そうすれば実質1行のパッチに[ruby-dev:29745]のようにつっこまれる事態は避
| けられました。

内部でレビューをした結果でもつっこまれることになる場合もある、
とか、つっこまれることはわかっていてもその時点で可能な範囲の
行動を取った、ということもあるんですけどね。


脆弱性に対する対応の方針が確立していない状態で、目の前に外部
で公開されてしまった脆弱性があるという時点で、やるべきことは
以下の二点に集約されます。

(1) 目の前の脆弱性に対してどう対応するか
(2) 今後も含めて、脆弱性に対する対応の方針をどうするか

(2)の結論が出なければ、(1)に対して適切な対応をすることはでき
ません。
当たり前ですよね、方針がないんだから。
では、(2)の結論が出るまで(1)を放置していいかというと、もちろ
んそんなわけもありません。
と、いうことは、この状況下でできることは、(2)の結論を待たずに
とにかく最低限必要な範囲で合意を集約した上で(1)の対応を行って
おき、それとは別個に(2)の議論を進める、ということになります。


今回の脆弱性の対応について、稚拙であるという指摘や不十分であ
るという指摘は甘んじて受けましょう。
でも、議論してねーだろとか独断だろなどと、勝手な予断を元に文
句を付けるのはいい加減にしてください。


それでは。
-- 
U.Nakamura <[e-mail]>