From: "U.Nakamura" <usa@...>
Date: 2010-08-12T15:54:42+09:00
Subject: [ruby-dev:42013] Re: WEBrickに関するセキュリティ修正 (CVE-2010-0541)

こんにちは、なかむら(う)です。

In message "[ruby-dev:42012] Re: WEBrickに関するセキュリティ修正 (CVE-2010-0541)"
    on Aug.12,2010 15:32:09, <nakahiro@gmail.com> wrote:
> CRuby側への連絡は来ていないんじゃないかと思います。
> どうですかね > security@ruby-lang.org のメンバーの方々

とりあえずノーコメント。


> 上記につながるXSS脆弱性という理屈はわかりますし、修正もよいと思います。
> この修正により、例外メッセージに入れていた日本語がエラーページ上で文字
> 化けになるという、大変不運な人も居るかもはしれませんが、まあエラーページ
> ごと自作してもらう方向で。
> 
> ただ、私の理解する限り、元々のWEBrickのデフォルトエラーページに、そのも
> のズバリなXSSはないような気がします。例外メッセージやbacktrace（-d起動の
> 時だけ）に、attackerが選んだ文字列を入れられるとすると、そっちのほうが
> 問題のような。ただし、絶対ない、そっちが悪い、ということではないので、
> いつかは修正したほうがいいのは間違いありません。
> 
> あるいは、Appleが作った/配ったアプリが、create_error_page()を定義してい
> て、そちらにXSSがあったとかなのかもしれませんね（完全な憶測）。

今のところ、このパッチそのままではなくて、create_error_page()
側は見捨ててWEBrick自前出力側だけ対処する方向で検討したりもし
てたんですが、どうでしょうか?
デフォルトエラーページに問題がないとなひさんが考えられた理由
を説明して頂けると嬉しいです。

create_error_page()の先に穴があった場合は... 自分の首を絞めた
い奴は勝手に死ねよとか思う私は冷たい人? ^^;


それでは。
-- 
U.Nakamura <usa@garbagecollect.jp>