From: Shugo Maeda <shugo@...>
Date: 2008-07-15T12:28:24+09:00
Subject: [ruby-dev:35506] Re: ruby_1_8_6/ruby_1_8_7ブランチのメンテナンスポリシーについて

前田です。

2008/07/15 0:58 Urabe Shyouhei <shyouhei@ruby-lang.org>:
>> 逆に適用した方がいいものをリストアップした方がわかりやすいと思うのでそうします。
>> # 抜けがあるかもしれませんが。
>> 私の意見としては、以下の修正のみを適用した方がよいと思います
>>> 248 | CVE-2008-2376
>>> 249 | $SAFE patch by keita.yamaguchi #1
>>> 250 | $SAFE patch by keita.yamaguchi #2
>>> 252 | $SAFE patch by keita.yamaguchi #3
>>> 257 | CVE-2008-2376
>>> 262 | $SAFE patch by keita.yamaguchi #4
>>>
>>
>> これらについては、修正した上でリリースをした方がよいのではないかと思います。
>> 今回のように複数のレポートが立て続けに来る場合は、パッチレベルごとではなく
>> まとめて一回のリリースにした方がよいのではないかと思います。
>>
>
> さて本題のほうですが、なぜこれらが選ばれたのか、基準はどのへんにあるんで
> しょうか。気になります...

上記のリストには抜けがあるかもしれませんが、

* 私がセキュリティフィックスとして適用した方がよいと思うもの
  (本来はsecurity MLでの議論の上で、ということになると思いますが)
* 世間的にセキュリティフィックスとして適用した方がよいと思われそうなもの
  (CVEで番号がついてるとか)

の和集合です。

ただ、これはRubyの脆弱性対応の方針がはっきりしていない現状では、上記の
ような対応がよいのではないかと思っているだけで、CVE-2008-2376のような
たんなるSEGVは含めないとはっきり宣言した上であれば適用しなくてもよいの
ではないかと思っています。

繰り返しになりますが、問題意識はセキュリティフィックスの際に無関係な修正
のためにアップグレードが困難になることを避けたいという点にあるので、
ruby_1_8_xに適用する修正を限定するということにはそれほど拘りはありません。

-- 
Shugo Maeda