From: matz@... (Yukihiro Matsumoto)
Date: 2000-12-08T17:11:12+09:00
Subject: [ruby-list:26450] Re: cgi.rb で Insecur eOperation

まつもと ゆきひろです

In message "[ruby-list:26445] Re: cgi.rb で Insecur	eOperation"
    on 00/12/08, Takeshi Komiya <katsuwo@ish.ic.kanagawa-it.ac.jp> writes:

|> たぶんですが、環境変数TMPDIR、TMP、TEMPのいずれかが設定され
|> ているのでしょう。なるほど。tempfile.rbの方で対応します。
|
|  TMPDIR, TMP, TEMP が設定されていると問題なんでしょうか?

「現状では問題が起きる」という意味では問題です。ただ、本質的
な問題ではなくtempfile.rbのバグという意味ですね。

原因を語ると、環境変数から取得した文字列は汚染されているが、
リテラルの文字列は汚染されていないので、上記の環境変数のいず
れかが指定されていると、汚染された文字列に対して処理を行おう
とするので、Insecure Operationになるということですね。

文字列が汚染されているかどうかが問題なので、環境変数の内容に
は依存しません。
                                まつもと ゆきひろ /:|)