[ruby-dev:42012] Re: WEBrickに関するセキュリティ修正 (CVE-2010-0541)

2010/8/11 Hideki Yamane <[e-mail]>:
> ざっと検索してみたところRed Hatのbugzillaにそのパッチというのが出ています。
> https://bugzilla.redhat.com/show_bug.cgi?id=587731
>
> --- lib/webrick/httpresponse.rb.old        2010-03-31 18:47:40.000000000 -0700
> +++ lib/webrick/httpresponse.rb        2010-03-31 18:48:21.000000000 -0700
> @@ -209,7 +209,7 @@
>        @keep_alive = false
>        self.status = HTTPStatus::RC_INTERNAL_SERVER_ERROR
>      end
> -      @header['content-type'] = "text/html"
> +      @header['content-type'] = "text/html; charset=utf-8"
>
>      if respond_to?(:create_error_page)
>        create_error_page()
>
>
> snapshotのアーカイブを展開してみましたが上記の変更は加えられてないので、
> そもそもruby本体に修正の話が来ていないんじゃないかと思ってメールしてみました。
> これで修正内容が十分なのか、わかる方がいらっしゃったらぜひ確認してみていただけ
> ると嬉しいです :)


CRuby側への連絡は来ていないんじゃないかと思います。
どうですかね > [e-mail] のメンバーの方々

上記につながるXSS脆弱性という理屈はわかりますし、修正もよいと思います。
この修正により、例外メッセージに入れていた日本語がエラーページ上で文字
化けになるという、大変不運な人も居るかもはしれませんが、まあエラーページ
ごと自作してもらう方向で。

ただ、私の理解する限り、元々のWEBrickのデフォルトエラーページに、そのも
のズバリなXSSはないような気がします。例外メッセージやbacktrace（-d起動の
時だけ）に、attackerが選んだ文字列を入れられるとすると、そっちのほうが
問題のような。ただし、絶対ない、そっちが悪い、ということではないので、
いつかは修正したほうがいいのは間違いありません。

あるいは、Appleが作った/配ったアプリが、create_error_page()を定義してい
て、そちらにXSSがあったとかなのかもしれませんね（完全な憶測）。