[ruby-list:21845] Re: [Q]Security Check($SAFE): FileTest within mod_ruby

まつもと ゆきひろです

In message "[ruby-list:21843] [Q]Security Check($SAFE): FileTest within mod_ruby"
    on 00/04/11, Hideto ISHIBASHI <[e-mail]> writes:

|ぼくのところでは、mod_rubyから起動されるeRubyスクリプト(.rhtml)の
|セキュリティレベル($SAFE)は'1'です。そのとき、
|  File.open("...")
|は実行できるのに、
|  FileTest.file?("...")
|  File.file?("...")
|はSecurityErrorです。

これは正確に言えば違うはずです。

以上の全てのメソッドは引数が汚染されている(つまり外部から入
力されていて信頼できない)ときに例外を発生させます。つまり、
File.openが実行できたと言うことはその引数が汚染されていなかっ
たということであり、FileTest.file?が例外を発生したと言うこと
はその引数が汚染されていたと言うことだと思います。

ということで、さすがに

|ファイルのオープンはセキュリティレベル'1'に適合するけれど、
|ファイルテストはそれより危険ということですね。セキュリティには
|詳しくないので、ファイルテストの危険度がよくわかりません。
|ファイルの内容を読むほうが危険だと思います。

というような、わけわかな仕様にはなってないと思います。セキュ
リティ関係は実は1.4系ではあまりしゃんとしてないのですが(1.5
系でかなり改善されている)、それでも上記は成立します。

|つぎにmod_rubyのセキュリティ設定について。
|
|mod_rubyから起動されるeRubyスクリプトの$SAFEは、
|Apacheとは無関係にmod_rubyが設定するものですね。
|つまりsuexecなどでも$SAFEを下げることはできないように
|思うのですが、どのようにして$SAFEを下げる(正確には「下げない」)、
|もしくは特権的な操作を許可することができるのでしょうか。
|
|要するに「抜け道」を教えてください (^^;;

srm.confに指定するなどの方法を採用する可能性は否定しませんが、
私からはわざわざセキュリティホールになる仕様変更を前田さんに
頼めません。ご自分で説得してください。;-)

前述のように$SAFE=1でSecurityErrorが出るのは -私の主観では-
CGIのようなプログラムではかなりあぶない行為ですから、許可し
ない方が良いと思います。しかし、「外部から入力されていても内
容はチェックした、大丈夫」とお考えの場合にはuntaintメソッド
で明示的に汚染マークを外してくださいませ。

                                まつもと ゆきひろ /:|)