「SourceForge.jpのプロジェクトWebサーバがクラックされる」記事へのコメント

対応が遅くない？

[tamago915 (19926)]

事態の経過を時系列で追ってみると、

• 2004年1月21日：PHP スクリプトの脆弱性を突かれる
• 1月23日：Web ページの一部を改ざんされる
• 1月29日：当該モジュールの修正版がリリースされる
• 2月3日：SourceForge.jp に改ざんが報告される。即時対応。
• 2月13日：SourceForge.jp の掲示板に事態を報告。

ですね。

改ざん(1/23

Re:対応が遅くない？

[n225 (16459)]

> 1月29日：当該モジュールの修正版がリリースされる
> 2月3日：SourceForge.jp に改ざんが報告される。即時対応。

うーん。SourceForge.jpは改ざんが報告されてから即時対応してますよね。
なので、フォーラムに報告するまでに時間がかかったとしても、改ざんの報告を受けてからの対応自体は遅くないのではないかと個人的に思います。
フォーラムへの報告は遅い気がしますが。

ただ、改ざんが報告されなかったら、ずっと気づかなかったのかなぁ。

# メールでは今日の11:30過ぎに通知が来ました。

Re:対応が遅くない？

[sum (10437)]

あと「修正版のリリース」というのも、今回の件の何に関連してかの情報もないですよね。
改竄の発見に起因するなら「SFへの改竄の報告」の方が、普通は修正版リリースの前にくると思います。

件のセキュリティフィックスを受けて、使用している箇所を確認したら改竄が発見された。
しかし改竄行為の痕跡(ログ)はそれ以前の21～23日に掛けて発見されたということかな。