「IEに未パッチの脆弱性4種、実証コードあり」記事へのコメント

発見者の態度

[deleted user (19654)]

投稿 [securityfocus.com]には
「ちょっと実験してクラッシュを発見しただけだから、詳しく調べればもっとあるかもよ」
「でも、マイクロソフトと連絡をとるのは、やたら時間がかかるからね。
クラッシュだけで、明白なエクスプロイトがない場合は特に。」
と書いてあるので、IE ユーザはかなり危険な状態にあり

Re:発見者の態度

[yu_raku (419)]

バグを見つけたら報告する義務がわるわけでなし、誰がどこに知らせようと無責任なんて言われる筋はないと思います。
で、この人はバグを周知しようとしてくれる人なわけで、どちらかというと善意の人。
「マイクロソフトと連絡をとるのは、やたら時間がかかるからね。」と思わせてしまったマイクロソフトの体制に問題があるんじゃないかなぁ。

Re:発見者の態度

[alp (1425)]

うーん。例えば日本マイクロソフトだと セキュリティ情報センター [microsoft.com] にも問い合わせ窓口は明記されていますし、まずベンダに報告を貰うようにする努力も惜しんでいないと思います。基本的には ベンダに猶予期間を持って報告 > いきなり一般公開 >>>> 地下で公開 だと考えていますから、

Re:発見者の態度

[Anonymous Coward]

> まずベンダに報告を貰うようにする努力も惜しんでいないと思います。

かなり惜しんでます。

Microsoft の中の人

[deleted user (19654)]

葉っぱ日記 [hatena.ne.jp]を見ると、マイクロソフトは
「明らかに脆弱性でないような馬鹿げた報告であっても、標準的なプロセスに従って本社へ報告する」
という対応をしているそうです。できる限りの努力をしていると思います。

Re:Microsoft の中の人

[z_cubic (20952)]

> できる限りの努力をしていると思います。
「標準的なプロセス」の妥当性を議論しないと意味が無いと思いませんか。
実際、そのプロセスを経験した人間が、今回はそれを選択しなかったわけですから。

It is my experience that reporting and discussing security problems with Microsoft is a needlessly lengthy process that puts too much burden and effort on the researcher's end, especially if you just have a crash case, not a working exploit; hence, they did not get an advance notice.

# 「最高のセキュリティ」なんていうのも同類かなぁ。

Re:Microsoft の中の人

[deleted user (19654)]

＞「標準的なプロセス」の妥当性を議論しないと意味が無いと思いませんか。

確かに。最初からマイクロソフトの側で
もっと迅速に対処してくれれば問題なかったんですから
マイクロソフトに改善点はあるかもしれませんね。

http://www.eeye.com/html/research/upcoming/20050329.html
のように、何ヶ月も経ってるのに修正されない問題なんかだと、
報告者が事情を知らされずにただ待つのは大変だと思います。

今回の発見者がそうした点に警鐘を鳴らすつもりで
いきなり公表したのだとしたら、ぜひ成果を上げてほしいものですね。

Re:Microsoft の中の人

[Anonymous Coward]

アンチMSな人には何言っても無駄ですよ。

Re:Microsoft の中の人

[Anonymous Coward]

ちなみに、「明らかに脆弱性でないような馬鹿げた報告」とは、これのことらしいです:
IE の中止ボタンがしいたけに見えて困る [w3j.org]