[ruby-dev:31975] Re: [ruby-list:44071] Re: Ruby 1.8.6-p111 / 1.8.5-p114 released (Security Fix)

前田です。

On 10/08/2007 08:37 PM, GOTOU Yuuzou wrote:
>>> 議論を止めてしまったみたいですが、net/imapにもpost_connection_check
>>> を入れます。
>> お願いします。
> 
> 入れました。

ありがとうございます。
trunkとruby_1_8でpost_connection_checkによる例外が発生することを確認
しました。

$ ruby -r ./lib/net/imap.rb -e 'imap = Net::IMAP.new("XXX.XXX.XXX.XXX",
993, true, "/path/to/cacert.pem", true)'
/usr/lib/ruby/1.8/openssl/ssl.rb:91:in `post_connection_check': hostname
not match (OpenSSL::SSL::SSLError)
        from ./lib/net/imap.rb:1227:in `start_tls_session'
        from ./lib/net/imap.rb:900:in `initialize'
        from -e:1:in `new'
        from -e:1

net/smtp.rbやnet/pop.rbは確認していません。

> あと、1.9のNet::IMAPにあるstarttlsはSSLContextを引数に取るよ
> うになっていましたが、initializeに合わせました。

このインタフェイスってどうですかねえ…後で考えます。

>>> 対応としては次の三つが考えられると思います。
>>>
>>>   1. enable_post_connection_checkを外す(p111はキャンセル)
>>>   2. enable_post_connection_checkのデフォルトをtrueにする
>>>   3. そもまま何もしない
>>>
>>> これまでの議論から、3はないかなと思いますが、どうでしょうか？
>>> 1.8.[56]にenable_post_connection_checkを残すなら、安定版リリー
>>> スにだけ存在するAPIというのも変なので、1.8には残してもいいか
>>> と思っています。
>> 1がよいと思います。
>>
>> 2だとすると、他のライブラリにも同じインターフェイスを用意すること
>> になるんですよね…。
> 
> 2だとしても他のに追加することまでは考えていませんでしたが、
> enable_post_connection_checkは削除しました。

Net::HTTPだけスキップ手段を用意するのも変だと思いますので、削除がいいと
思います。

-- 
前田 修吾