From: Shugo Maeda <shugo@...>
Date: 2008-08-25T09:29:33+09:00
Subject: [ruby-dev:35945] Re: [ruby-list:45386] Re: [ANN] 	REXMLのDoS脆弱性

前田です。

2008/08/25 9:24 Shugo Maeda <shugo@ruby-lang.org>:
>>> 問題を修正するためのモンキーパッチ(実行時にライブラリを修正するパッチ)をダウンロードしてください。
>>>
>>> * ((<URL:http://www.ruby-lang.org/security/20080823rexml/rexml-expansion-fix.rb>))
>>>
>>> REXMLを使用する前にrexml-expansion-fix.rbをロードするように、あなたのアプリケーションを修正してください。
>> Ruby本体の修正の予定はどのような状況なのでしょうか?
>
> 実体参照の展開回数の上限の設定APIについてruby-devで議論した上で取り込みたいと思っています。

というわけで、 何点か確認させてください。

> デフォルトでは、XML実体参照の展開は10000回に制限されます。この値は、
> REXML::Document.entity_expansion_limit=により変更可能です。
>
> REXML::Document.entity_expansion_limit = 1000

この部分についてですが、

(1) メソッドを追加するクラス・メソッド名はこのままでよいでしょうか。
(2) インスタンス単位で指定できるようにする必要はないでしょうか。

(1)について問題なければ、(2)については後で追加でもよいかもしれません。

-- 
Shugo Maeda