「Google Pixelのマークアップツールで編集前の画像が復元できる脆弱性、エクスプロイトが公開」記事へのコメント

やるやる

[Anonymous Coward]

ファイルそのままで先頭から書き込んじゃう奴ね。やるやる。
トリミングしたつもりが途中から普通に見れてしまうのは確かに問題。

しかしウェブサービスも画像を受け取るならきちんとデータのトリミング？みたいな地味に面倒そうな処理をしないといけないのね。
メタデータ削除のついでにやるようなものだし、そういうことしないと画像ファイルサーバーのつもりがデータ置き場に転用されかねないからセキュリティ対策を別としてもやらざるを得ないが。
でも軽く自作サービス作る時とかめんどくさそうだなぁ。ライブラリもツールもあるだろうけど。

Re:やるやる

[Anonymous Coward]

modeをwでfopenすべきところをr+で開いちゃってたみたいなことなのか
加工したファイルを元ファイルに上書き保存するってイメージがなくてすぐには分からなかった

Re:やるやる

[ktmizugaki (46208)]

Android の ContentResolver の openOutputStream では、 mode に "w" を指定しても切り詰められないというのが始末に悪い。
前に自作アプリでひかかって調べたら、自分で truncate メソッドを呼ぶと良いというのを見つけて、まじかいなと思いながら対応した記憶がある。
今調べたら、 Android 10 から "w" では切り詰められない動作に変わっていて、 "wt" と指定すると 切り詰められるらしい……。

--
svn-init() {
  svnadmin create .svnrepo
  svn checkout file://$PWD/.svnrepo .
}