From: Shugo Maeda <shugo@...>
Date: 2007-10-04T16:40:41+09:00
Subject: [ruby-list:44068] Re: Ruby 1.8.6-p111 / 1.8.5-p114 released (Security Fix)

前田です。

On 10/04/2007 01:50 PM, Takahiro Kambe wrote:
>> A problem on the net/https library was reported. We already fixed that
>> on the repository, but we also think it worth releasing. Here they are.
>> The only difference with the latest 1.8.6-p110 / 1.8.5-p113 is the
>> inclusion of fixes to it.
> さて、net/http.rbには、
> 
> --- lib/net/http.rb.orig	2007-02-13 08:01:19.000000000 +0900
> +++ lib/net/http.rb
> @@ -470,6 +470,7 @@ module Net   #:nodoc:
>        @debug_output = nil
>        @use_ssl = false
>        @ssl_context = nil
> +      @enable_post_connection_check = true
>      end
>  
>      def inspect
> 
> といった修正が p111 の後で加えられています。これはこれで特にセキュリティ
> 上の問題とはならないと考えて良いのでしょうか?

1.8では互換性のため、enable_post_connection_checkはデフォルトではfalseに
なっていますので、チェックを有効にするには

  http.enable_post_connection_check = true

のように設定する必要があります。
# ChangeLogは1.9と同じになっているので、デフォルトでtrueのように読め
# ますね。

という記述をwww.ruby-lang.orgの説明にも追記しておきました。
ご指摘ありがとうございました。

-- 
前田 修吾