ruby-dev

こんにちは、なかむら(う)です。

In message "[ruby-dev:29885] Re: cgi.rbのDoS脆弱性について"
    on Nov.07,2006 01:37:19, <moonwolf@moonwolf.com> wrote:
| なんという言葉で表すのが適切なんでしょうねぇ。
| 「security@ruby-lang.orgに送られたメールを受け取る個々人」というのが適切
| なんでしょうか?
| 受け取るだけで読むとは限りませんし、SMTPが個々人と直結しているわけでもな
| いし、そもそも本当に人なのかわからないし、個人のようにみえるけど実は団体
| だったりするかもしれないしねぇ。security@ruby-lang.orgというメールアドレ
| スが実在するかも、よくわかんないし。
| 
| 本当に何が適切な言葉なのかわかりません。

つまり適切にそれを表す言葉が存在しないんじゃないでしょうか。


| 要求して早く決まるならそうしますよ。「明日中に決めろ」とかねｗ
| どういう風に要求するのが適切なんでしょうねぇ。

MoonWolfさんが何かを「要求」するのがそもそも間違っている、と
いう結論はいかがでしょうか。


| > つまり、security@(ryなり他のどこかなりで議論なり相談なりが存
| > 在したならば、最終的な決定が特定の個人に夜もであろうとも、そ
| > れは独断じゃないでしょう。
| 
| その議論・相談の存在については現在確認できていません。
| 議論が存在したかについて確認するにはどうするのが適切なんでしょうねぇ。

# あ、誤字ってましたね。「特定の個人によるものであろうと」で
# した。すみません。

何でもかんでも自分の目で確認しないと気が済まないなら、自分が
当事者になればよいと思いますよ。


| > | > 対策、済んでるんですか?
| > | > 済んでないって言ってるのはMoonWolfさんじゃなかったでしたっけ?
| > | > 今の状況なら済んでることにしていい?
| > | 
| > | ruby-listへのアナウンスと脆弱性のレビューとは特に関連性があるとは
| > | 思えないのですけど。
| > 
| > いや、ruby-listのアナウンスのことじゃなくて、このスレッドの前
| > のほうにある、[ruby-dev:29753]の「しかし、新しいパッチにも問
| > 題があります」の件ですよ。
| 
| CGI::REVISIONが1.68.2.16のままでも脆弱性のレビューがなされたか
| 確認するのに問題は生じないと思います。

脆弱性に対する対策が済んだかどうか、じゃなくて?
なんか話がすりかわってますね。


| 「CGI::REVISIONは単なるCVSの目印であってディストリビューションによって
| 修正される可能性があるから信頼するには管理者に確認せよ」というのが、
| 結論なんだと思っています。
| それがruby-devの結論というには誰が判断するのが適切なのかはわかりませんけど。
| 私の考える適切な対策とは違いますが、そういうもんだと思って諦めています。

ふむ、そうですか。残念。


それでは。
-- 
U.Nakamura <usa@garbagecollect.jp>

Thread

Prev Next

In This Thread

Prev Next