From: Urabe Shyouhei <shyouhei@...>
Date: 2007-10-05T22:43:19+09:00
Subject: [ruby-list:44085] Re: Ruby 1.8.6-p111 / 1.8.5-p114 released (Security Fix)

卜部です。

NAKAMURA, Hiroshi wrote:
> Urabe Shyouhei wrote:
>   
>> はい。過渡的な措置というか1.8.7以降で最終的にはきちんとチェックされるよ
>> うになりますので、1.8.5/1.8.6では互換性を優先させつつ警告だけ出る状態を
>> 採用しました。
>>     
>
> 了解です。ただし、「警告だけ出る状態を採用」のことを、「脆弱性を修正しま
> した」と呼ぶのは問題でしょう。
>   

んー、私の方が理解が足りてないとかでひょっとしてはずしてたら大変申し訳な
いのですが、RFC2818における3.1. Server Identityの

> If the hostname is available, the client MUST check it against the
> server's identity as presented in the server's Certificate message,
> in order to prevent man-in-the-middle attacks.
を、これまではVERIFY_PEERにおいても満たしていませんでしたが、今回
1.8.5/1.8.6でもVERIFY_PEERな場合において満たすようになったと思うのです
が、これは修正と呼ぶには弱いんでしょうか。