「GitHubに脆弱性、第三者が権限のないリポジトリへのアクセス権を取得可能」記事へのコメント

ちゃんと記事を読みましょう。これはRailsの脆弱性ではありません。

[Anonymous Coward]

この問題はActiveRecordのモデルに適切にサニタイズされていないHTTPパラメータを渡すことで発生するもので、
要するにXSSやSQL Injectionと同じです。

Railsの脆弱性ではありませんし、本質的にRails固有のものは何もありません。
いつもの通り、「ユーザから渡されたパラメータを信用しない」という基本的なルールを墨守することが大切で、
GitHubがそれをやっていなかったというだけのことです。

ここぞとばかりにRuby叩きが発生していますが、register_globalsとは全然レベルが違います。
Railsのインターフェイスデザインにまずいところはなにもありません。
逆に言えば、完全な解決策もありません。attr_accessibleは助けになりますが、
これは、例えるならば、「XSS対策のために、デフォルトでHTMLへの埋め込み文字列をエスケープする」というのに近く、
ユーザパラメータのサニタイズが不要になるものではありません。

繰り返しになりますが、ActiveRecordのモデルに対するメソッド呼び出しは最終的にデータベースクエリになるということを頭において、
「ユーザから渡されたパラメータを引数にするときはサニタイズする」ことを忘れないことです。
これは他のWebフレームワークでもまったく同じです。

Re:

[Anonymous Coward]

サニタイズいうなキャンペーンどこいった

ところで。
多くの人が間違いを犯すシステムは脆弱なシステムです。
基本ルールを守るというのは重要ですが、守りやすい、わかりやすいシステムであるというのも重要です。
驚きは最小限に。でしたっけ？

Re:

[Anonymous Coward]

驚き最小の法則ってのは、昔の Ruby の開発ポリシーでしたね。

Rails とは全然関係ないし、確か今の Ruby でもその方針はとくに重要視していない。

PoLS

[Anonymous Coward]

間違えてる人が時々いるけど、「驚き最小の法則」がRubyの開発ポリシーだったことはないよ。
RubyのMLで言い出した人間がいるというだけ。