「Google、Android 4.3のWebViewに対する脆弱性修正を行わなかった理由について説明」記事へのコメント

理由にならない

[Anonymous Coward]

2年以上前のWebKitからフォークして独自に開発が加えられたWebKitベースのWebViewを殺して、ChromiumベースのWebViewに換装すれば良いじゃないか。
代わりにFirefox他をインストールしろと云う話なのだから。
容量上収まらない以外に理由はないだろう。

Re:理由にならない

[90 (35300)]

/dev/block/mtdblock3 on /system type yaffs2 (ro, noatime) は書き換えられないんですよ。フラッシュメモリ保護機構ちゃんどいてそいつ殺せない! dd なんかしてもむだです。
まあ、2.1くらいの時に差分を書き換え可能領域に置けるようにするくらいの知恵が回ればよかったですよね。5.0ではめでたくWebKitも更新可能になったらしいですけど。

Re:

[Anonymous Coward]

FSやどのブロックデバイスに何を配置するかまでAndroidの仕様で定められてるわけじゃないでしょ?

Re:理由にならない

[90 (35300)]

どこに配置するかは定められていないし、書き換える方法も統一されていません。なので、実際に動いている機器の古いWebKitが更新できません。
アプリが使うin-app browserはいつまでも脆弱な古いバージョンを使い続けることになります。

Re:

[Anonymous Coward]

4.3までのセキュリティアップデートとしてWebKitをChromiumに差し替えたバージョン作ればいいだけです。
それをユーザーに提供するかは各末端メーカー次第ですが。

Re:理由にならない

[90 (35300)]

それだったら、新規採用があろうがメーカー保証があろうが4.4未満はすべてサポートを終了しましたと言ってしまえば済みますよ。

Re:

[Anonymous Coward]

WebViewの代わりに別のブラウザを入れても
ブラウザを起動して使う分には回避できるが、アプリの中からWebViewを呼んでいる場合は回避にならないってこともあるからね。

回避策としては駄目だね。
というか、今後別のセキュリティ問題が出てきた時も対処しないってことだから、ブラウザだけの問題ではないんだよね。

Re:

[Anonymous Coward]

WebViewの代わりに別のブラウザを入れても
ブラウザを起動して使う分には回避できるが、アプリの中からWebViewを呼んでいる場合は回避にならないってこともあるからね。

スマホってWebブラウザより専用アプリを使わせる傾向があるけど、それが裏目に出ているのか。あ、でもPCでもFirefoxなどに乗り換えてもIEコンポーネントを使う別プログラムがあれば似たようなものか（比率としては少ないようだけど）。

というか、今後別のセキュリティ問題が出てきた時も対処しないってことだから、ブラウザだけの問題ではないんだよね。

その点はごもっとも。