[ruby-list:32390] Re: fastcgi.rb and cgi.rb

In article <[e-mail]>,
  [e-mail] (Yukihiro Matsumoto) writes:

> 怠慢で申し訳ないんですが、どういう風にセキュリティに関係する
> のか教示していただけませんか？

RFC2279 の Security Considerations に

   Implementors of UTF-8 need to consider the security aspects of how
   they handle illegal UTF-8 sequences.  It is conceivable that in some
   circumstances an attacker would be able to exploit an incautious
   UTF-8 parser by sending it an octet sequence that is not permitted by
   the UTF-8 syntax.

   A particularly subtle form of this attack could be carried out
   against a parser which performs security-critical validity checks
   against the UTF-8 encoded form of its input, but interprets certain
   illegal octet sequences as characters.  For example, a parser might
   prohibit the NUL character when encoded as the single-octet sequence
   00, but allow the illegal two-octet sequence C0 80 and interpret it
   as a NUL character.  Another example might be a parser which
   prohibits the octet sequence 2F 2E 2E 2F ("/../"), yet permits the
   illegal octet sequence 2F C0 AE 2E 2F.

と書いてあります。

端的にいえば、UTF-8 で .. などの危なそうな文字列が存在していないことを
確認したとしても、後から冗長なエンコードをデコードしちゃうと危ないのが
出てきちゃうかも、ということです。

これを防止するのに一番簡単確実自明なのは冗長なのを禁止しちゃうことなの
で、そのような挙動がデフォルトだといいのではないか、ということなんです
が。
-- 
[田中 哲][たなか あきら][Tanaka Akira]
「ふえろ! わかめちゃん作戦です$(C⊇」(Little Worker, 桂遊生丸)