「PHP-4.3.7以前にリモート脆弱性発見」記事へのコメント

隠蔽

[Anonymous Coward]

> PHP-4.3.8のリリースアナウンスには詳細が述べられておらず、
> ChangeLogにも重要性を示唆する言葉は全くない

無責任なことですね。透明性が命のオープンソース
プロジェクトで隠蔽まがいのことをするなんて。

隠してないよ。あんたら英語が理解できないだけ

[Technical Type (3408)]

PHP 4.3.8 Release Announcement [php.net]に

All users of PHP are strongly encouraged to upgrade to PHP 4.3.8 as soon as possible.

とあって、これは Sendmail などでもお馴染みの発表方。つまり

1. 開発チームがヤバい脆弱性を見つけた。
2. いきなり脆弱性詳細を解説してしまうとマズ過ぎるので、大至急アップデートする事を強く勧めるとだけ書いて、まずはバージョンアップを促す。
3. しばらくしてから「解説はしばらく後にするが、重大な問題があるんだぞ。至急、アップデートせよ」と再度、尻を叩く。
4. 最後に脆弱性の解説を行う。

つもりだ

Re:隠してないよ。あんたら英語が理解できないだけ

[one-one (17888)]

OepnSSHだかなんだかで そんな感じの発表方法で 反感買ってた人がいたような気がしますなぁ.
それを考えると あまりお馴染の方法とか言わない方がいいような気がします:-p

それから exploitを出さないと隠蔽ってことではなくて 『こんなsecurity holeがあったよ』ってことを前面に出してないってことを言ってるんじゃないですかね.
僕も隠蔽だとは思わないけど, そこら辺話が噛み合わないのはちょっともったいないですよ.