「ruby-1.8.2に任意のコマンド実行の脆弱性」記事へのコメント

で？

[Anonymous Coward]

rubyなアプリケーションも増えて来ているが、さて、何に備えるべきなのか...
tdiaryとか引っ込めた方がいいんだろうか？

Re:で？

[Anonymous Coward]

tdiary は少なくとも標準状態では xmlrpc server 機能は使っていないように見えます。plugin で使っているというのも標準配布分では無いんじゃないかなと。grep -i xmlrpc しただけなので正確なところは配布元の情報をあたってください。

もし自分で当該ファイルを修正出来る権限を持っているなら、記事の patch を適用してしまうのが手っ取り早いんじゃないでしょうか。xmlrpc/utils.rb を一行修正するだけのようですし。

例えば Debian の ruby1.8 ならば /usr/lib/ruby/1.8/xmlrpc/utils.rb のようです。

Re:で？

[znz (2728)]

http://cvs.sourceforge.net/viewcvs.py/tdiary/plugin/xmlrpc/xmlrpc.rb?rev=1.5&view=auto をみるとserver.add_handler('blogger.newPost')という感じで XMLRPC::iPIMethodsを使ってないからたぶん影響なし。