「GNU gzipに脆弱性、1.4リリース」記事へのコメント

JVN の脆弱性レポートの誤り

[fcp (32783)]

JVN の脆弱性レポート [jvn.jp]の「詳細情報」の項には、

GNU gzip には、gzip 圧縮ファイルの処理に複数の脆弱性が存在します。

対応された脆弱性の一つは、64-bit システム上でのみ影響を受けます。

とあり、普通に解釈すれば 32 ビットシステムに影響する脆弱性も見つかったかのように読めるのですが、これはほぼ誤りと言って良いと思います。

gzip 1.4 のリリース案内文 [gnu.org]によれば、 gzip 1.4 で修正されたバグは「32 ビットシステムに影響しない脆弱性」と「脆弱性ではないバグ」の二つであり、 gzip 1.4 での修正内容の中に「32 ビットシステムに影響する脆弱性」はありません。

JVN の脆弱性レポートを読み返すと、「関連文書」の項に CVE-2009-2624 [mitre.org] と CVE-2010-0001 [mitre.org] の二つの CVE 番号が書かれています。 CVE-2010-0001 というのは gzip 1.4 のリリース案内文に書かれている脆弱性です。では CVE-2009-2624 って何?

CVE-2009-2624 は、 gzip 1.3.13 で修正された脆弱性です。たしかにこれは 32 ビットシステムにも影響するので、

GNU gzip (の 1.3.13 より前) には、gzip 圧縮ファイルの処理に複数の脆弱性が存在します。

(gzip 1.4 までに) 対応された (ことのある) 脆弱性の一つは、64-bit システム上でのみ影響を受けます。

という意味だとすれば誤りではないとも言えますが、まあこれは屁理屈の類でしょう。

もちろん、 32 ビットシステムでも gzip を最新のものに更新するに越したことはないと思います。

翻訳の誤り？

[Technical Type (3408)]

IPA は翻訳を入札で外注 [ipa.go.jp]してるから、JVN で英語の脆弱性情報に対する理解がアレなのは (一部、自粛) だから「あれ？」と思ったら英語を読め、JVN は参考程度に、という事ですね。

Re:翻訳の誤り？

[Elbereth (17793)]

まぁ、情報入手の取っ掛かりとしてはいいと思いますが、その先の元情報にあたる必要はありますね。
その辺はスラドと一緒ですね。

Re:翻訳の誤り？

[fcp (32783)]

まぁ、情報入手の取っ掛かりとしてはいいと思いますが、その先の元情報にあたる必要はありますね。
その辺はスラドと一緒ですね。

JVN の脆弱性レポートもスラッシュドットも「情報入手の取っ掛かりとしてはいいと思いますが、その先の元情報にあたる必要は」ある、というのは同意しますが、間違った脆弱性レポートを鵜呑みにしてそのままタレコミを書いた本人が言うことではないと思います。

Re:翻訳の誤り？

[Elbereth (17793)]

いや、全くもってそのとおりですね。とかここで書いたらまずいな。
気をつけます。