From: MoonWolf <moonwolf@...>
Date: 2006-11-07T01:37:19+09:00
Subject: [ruby-dev:29885] Re: cgi.rbのDoS脆弱性について

MoonWolfです。

U.Nakamura wrote:
> | 言葉を選ぶのが難しいですね。「組織」でもないし「体制」でもない。
> | 「グループ」、「チーム」というのも違う?
> 
> 私もよくわかってないんですが、違いそうに見えます。
> 単にそのメールアドレスに当てられたメールを受け取る個々人が存
> 在するだけ、のような気がしなくもありません。

なんという言葉で表すのが適切なんでしょうねぇ。
「security@ruby-lang.orgに送られたメールを受け取る個々人」というのが適切
なんでしょうか?
受け取るだけで読むとは限りませんし、SMTPが個々人と直結しているわけでもな
いし、そもそも本当に人なのかわからないし、個人のようにみえるけど実は団体
だったりするかもしれないしねぇ。security@ruby-lang.orgというメールアドレ
スが実在するかも、よくわかんないし。

本当に何が適切な言葉なのかわかりません。

> 
> | 時間的な要求は特にはしていません。
> | が、あまりにも先だと困るかなぁ。5年後とか。
> 
> まあ、MoonWolfさんが要求したから早く決まるとか遅く決まるとか
> いうこともないでしょうし、MoonWolfさんが困るからといって早く
> 決まるとか遅く決まるとかいうこともやっぱりないんじゃないです
> かね。
> 単に、速やかに合意が形成される背景があれば早く決まるでしょう
> し、それがなければいつまでたっても決まらないでしょう。

要求して早く決まるならそうしますよ。「明日中に決めろ」とかねｗ
どういう風に要求するのが適切なんでしょうねぇ。

> | > security@(ry、という、確立した主体があるわけじゃないんだから、
> | > security@(ryの判断、なんてものは存在し得ない、という話は何度
> | > も繰り返されています。
> | > # それが存在しないことがいいか悪いかは別ですよ
> | 
> | 「security@(ryの判断、なんてものは存在し得ない」ということは
> | 私が指摘した独断となにが違うんでしょうねぇ。
> 
> 大辞林によると、「独断」とは「他人の考えを聞かずに、自分一人
> の考えだけで物事を決めること。また、その判断。ひとりぎめ。」
> という意味だそうです。
> 最終的にある特定の誰かが物事を決めるとしても、それまでの過程
> で他人の考えを聞いてそれを考慮した上での決定であれば、それは
> 「独断」とは言わないんじゃないでしょうかね。

それをレビューというのではないかなぁ。

> つまり、security@(ryなり他のどこかなりで議論なり相談なりが存
> 在したならば、最終的な決定が特定の個人に夜もであろうとも、そ
> れは独断じゃないでしょう。

その議論・相談の存在については現在確認できていません。
議論が存在したかについて確認するにはどうするのが適切なんでしょうねぇ。

> | > 対策、済んでるんですか?
> | > 済んでないって言ってるのはMoonWolfさんじゃなかったでしたっけ?
> | > 今の状況なら済んでることにしていい?
> | 
> | ruby-listへのアナウンスと脆弱性のレビューとは特に関連性があるとは
> | 思えないのですけど。
> 
> いや、ruby-listのアナウンスのことじゃなくて、このスレッドの前
> のほうにある、[ruby-dev:29753]の「しかし、新しいパッチにも問
> 題があります」の件ですよ。

CGI::REVISIONが1.68.2.16のままでも脆弱性のレビューがなされたか
確認するのに問題は生じないと思います。
「CGI::REVISIONは単なるCVSの目印であってディストリビューションによって
修正される可能性があるから信頼するには管理者に確認せよ」というのが、
結論なんだと思っています。
それがruby-devの結論というには誰が判断するのが適切なのかはわかりませんけど。
私の考える適切な対策とは違いますが、そういうもんだと思って諦めています。