「Hikiの脆弱性に関する注意喚起」記事へのコメント

いまCVSのHEADで取り出したけど

[Anonymous Coward]

HIKI_VERSION = '0.7-devel-20040618'

ってなってるけど、これは大丈夫なのかな。
ChangeLogにもセキュリティホールのことは書いて無いようですが。

Re:いまCVSのHEADで取り出したけど

[fdiary (18402)]

ご指摘ありがとうございます。CVS HEAD の 0.7-devel-20040618 以降で対策済みです。

アナウンスの関連文書の URI にある私の日記 [tdiary.net]にも追記しておきました。

Re:いまCVSのHEADで取り出したけど

[Anonymous Coward]

「HTTPサーバのユーザ権限」ってのが何の事か分かりません。
cgiが実行される時の権限？それとも本当にhttpdの方の？

Re:いまCVSのHEADで取り出したけど

[fdiary (18402)]

ご指摘ありがとうございます。 もちろん cgi 実行権限です。

Re:いまCVSのHEADで取り出したけど

[Anonymous Coward]

それでもまだよくわからないな。

「遠隔から cgi 実行権限を得ることができる」

って言っても、CGI プログラムを実行する時点で既に得ている
わけで、それは別に問題でも何でもない。

つまり
　「CGI プログラムの実行権限で任意の命令を実行できてしまう」
ってこと?

Re:いまCVSのHEADで取り出したけど

[Anonymous Coward]

> CGI プログラムの実行権限で任意の命令を実行できてしまう

CGIのセキュリティホールなら、常識的に考えればこれでしょ。
もちろんローカルユーザー権限でrootを取得できる他のセキュリティーホールが残ってれば、それと組み合わせれて、まるごと好き放題されるでしょうけれど。

Re:いまCVSのHEADで取り出したけど

[Anonymous Coward]

> CGIのセキュリティホールなら、常識的に考えればこれでしょ。

さぁ、どうなんだろうね。

てゆーか、ちゃんとアナウンスしなさいってことだよ。
他のアドバイサリ [lac.co.jp] を読んで、どう書くのが最もわかりやすいか考えてみな。

Re:いまCVSのHEADで取り出したけど

[Anonymous Coward]

まぁ必死になって開発者をかばってやりたまえ (w

Re:いまCVSのHEADで取り出したけど

[Anonymous Coward]

JPCERT-WR-2003-1101 [jpcert.or.jp]より [2] CIAC Bulletin N-052の部分を抜粋

PeopleSoft PeopleTools には、"SchedulerTransfer" Java サーブレットに脆弱性があります。結果として、遠隔から第三者が Web サーバの実行ユーザ権限を取得する可能性があります。対象となるのは以下のバージョンです。

他にも 探せば結構ありますなぁ.

Re:いまCVSのHEADで取り出したけど

[Anonymous Coward]

結局どの修正が今回の穴埋めに該当するのでしょうか。

2004-06-18 Kazuhiko
                * hiki/global.rb: 設定項目のデフォルト値を用意するように修正

                * plugin/00default.rb (hiki_header): title 出力を escapeHTMLするよ
                うに修正 thanks to "Yuya Yamaguchi"

2004-06-17 Kazuhiko
                * hiki/session.rb: 新フ