From: Shugo Maeda <shugo@...>
Date: 2008-07-17T12:16:44+09:00
Subject: [ruby-dev:35559] Re: ruby_1_8_6/ruby_1_8_7ブランチのメンテナンスポリシーについて

前田です。

2008/07/16 16:59 Urabe Shyouhei <shyouhei@ruby-lang.org>:
> CVEの番号はおそらく手続きさえふめばだれでも申請できます。俺が[ruby-dev:
> 35405]で危惧しているのは
>
> * なんでもかんでもsecurity@ruby-lang.orgにバグ報告されて、どうでもいい案
> 件であふれてしまって、結果的に重要な問題をみのがしてしまうこと
>
> * なんでもかんでもCVE(というかCAN)を取得しまくってバックポートをせまる圧
> 力団体が出現した結果、同様にどうでもいい案件であふれてしまって、結果的に
> 重要な問題をみのがしてしまうこと
>
> * 上記のようなやりとりを何回か繰り替えした後に[ruby-dev:35230]のような
> 誤った主張が再度繰り返されること
>
> です。

うーん、1番目と2番目は杞憂ではないかと思いますし、もし意図的にそんな手段に
出る輩が現れたらフィルタリングなどの対処をすればよいのではないでしょうか。
それに現状でもたんなるSEGVがsecurity@ruby-lang.orgに報告されるという
ことはあるわけで、

> まあ、前田さんの意図は俺も分かるんですけども、結局最初に申し上げたとお
> り、「何をもってセキュリティフィックスと呼ぶか」が問題になるだけな気がし
> ます。

というのはruby_1_8_xブランチのメンテナンスポリシーにかかわらず、この際
はっきりさせておいた方がよいと思います。
もちろん、ケースバイケースで判断せざるをえないところは残ると思いますが。

-- 
Shugo Maeda