From: Hideto ISHIBASHI <hideto-i@...4u.or.jp>
Date: 2000-04-11T02:09:12+09:00
Subject: [ruby-list:21843] [Q]Security Check($SAFE): FileTest within mod_ruby

石橋秀仁です。

mod_rubyでeRubyスクリプト(.rhtml)を書いています。
そのときRubyのセキュリティチェックについて、
少し疑問に思ったことがあります。

まずはRubyそのもののセキュリティチェック機能について。

ぼくのところでは、mod_rubyから起動されるeRubyスクリプト(.rhtml)の
セキュリティレベル($SAFE)は'1'です。そのとき、
  File.open("...")
は実行できるのに、
  FileTest.file?("...")
  File.file?("...")
はSecurityErrorです。

ファイルのオープンはセキュリティレベル'1'に適合するけれど、
ファイルテストはそれより危険ということですね。セキュリティには
詳しくないので、ファイルテストの危険度がよくわかりません。
ファイルの内容を読むほうが危険だと思います。

これはそういうものなんでしょうか？

つぎにmod_rubyのセキュリティ設定について。

mod_rubyから起動されるeRubyスクリプトの$SAFEは、
Apacheとは無関係にmod_rubyが設定するものですね。
つまりsuexecなどでも$SAFEを下げることはできないように
思うのですが、どのようにして$SAFEを下げる(正確には「下げない」)、
もしくは特権的な操作を許可することができるのでしょうか。

要するに「抜け道」を教えてください (^^;;

--
Hideto "rubyholic" ISHIBASHI