From: Shugo Maeda <shugo@...>
Date: 2000-04-12T01:49:07+09:00
Subject: [ruby-list:21867] Re: [Q]Security Check($SAFE): FileTest within mod_ruby

前田です。

At Tue, 11 Apr 2000 07:02:36 +0900,
matz@netlab.co.jp (Yukihiro Matsumoto) wrote:
> |つぎにmod_rubyのセキュリティ設定について。
> |
> |mod_rubyから起動されるeRubyスクリプトの$SAFEは、
> |Apacheとは無関係にmod_rubyが設定するものですね。
> |つまりsuexecなどでも$SAFEを下げることはできないように
> |思うのですが、どのようにして$SAFEを下げる(正確には「下げない」)、
> |もしくは特権的な操作を許可することができるのでしょうか。
> |
> |要するに「抜け道」を教えてください (^_^;;
> 
> srm.confに指定するなどの方法を採用する可能性は否定しませんが、
> 私からはわざわざセキュリティホールになる仕様変更を前田さんに
> 頼めません。ご自分で説得してください。;-)

現状だと、

    rb_set_safe_level(1);

のようにしているのですが、これを

    rb_set_safe_level(DEFAULT_SAFE_LEVEL);

のようにマクロを使うように変更して、どうしても変えたい人は
config.hをいじってね、とかいうのはアリかなという気がします。

-- 
前田 修吾