From: Kazuhiko <kazuhiko@...>
Date: 2006-07-12T12:02:48+09:00
Subject: [ruby-list:42578] Re: JVN、スクリプト言語「Ruby」の2件の脆弱性情報を公表

かずひこです。

At Wed, 12 Jul 2006 08:16:55 +0900,
Yukihiro Matsumoto wrote:

> |パッチみたいなものも、ないのですねぇ...。
> 
> 今のところ用意していません。というのも、これらは両方とも
> $SAFE=4に関連するものですから、問題になるのは
> 
>   * $SAFE=4のサンドボックスを使って
>   * まったく信頼できないコードを動かしている
> 
> ようなプログラムだけで、影響範囲は少ないと考えているからです。
> 上記の条件を満たしつつ、古いバージョンで運用したいケースがあ
> りましたらご相談ください。

現在公開されている情報から判断すると、例えば tDiary のホスティングサービ
スが上記の条件を満たすのではないかと懸念しています。

また、ディストリビュータにとっては、ユーザがどういう使いかたをするか分か
らないので、「とにかく何らかの脆弱性がある」という状況に対して、対策をと
りたいと考えると思います。

その上で、「古いバージョン」に固執するわけではないけれど、かといってバー
ジョンを「Ruby 1.8.4 最新版スナップショット」に上げるのは影響範囲が読め
なくて躊躇する、というシチュエーションはありえると思います。

後学のためというか、フル・ディスクロージャという意味でもというか、「最小
限の修正パッチ」をリリースしてくださると幸いです。
-- 
かずひこ <http://wiki.fdiary.net/kazuhiko/>
  「恋とハックはアジャイルが命！」