「Linuxでもbot感染が拡大」記事へのコメント

メンテナンスされていないLinuxサーバほど質が悪いものは無い部門より

[Anonymous Coward]

あつ
どうメンテナンスすればLinuxサーバが良くなるのかわからない部門が多い事

Re:メンテナンスされていないLinuxサーバほど質が悪いものは無い部門より

[nonolin (465)]

> 多くの場合、phpアプリケーションのセキュリティホールを突いて感染を広げているようで、複数の脆弱性に対する攻撃手段を持ったものが増えているそうだ。

脆弱性が公開されてて、幅広く使われてるのは
phpBB とか Pukiwiki 系ぐらいかな。

phpBB って /. 以上に閲覧しにくいのだけど、なんで海外で流行ってんだろうか。
スレッドフロート型の殆ど見かけないよね。

Re:メンテナンスされていないLinuxサーバほど質が悪いものは無い部門より

[kitsune.info (18329)]

phpBB って /. 以上に閲覧しにくいのだけど、なんで海外で流行ってんだろうか。

リンクや引用など必要最低限のマークアップができる自由度と、（投稿者にとっての）UI のわかりやすさが「ちょうどいいバランス」なんじゃないですかね。ほどよく親しみやすいというか。

ただ、設置したり管理する側から見ると、設計がかなり行き当たりばったりという感があります。
MOD（おそらく module の略）で機能拡張できるのはいいんだけど、内部の実装がちゃんとモジュール化されていないので、module　とは名ばかりで実際にはコアファイルの変更が必要なことがほとんどです。
つまり事実上パッチなわけで、おかげでバージョンアップのたびに MOD を入れなおさなければならないことが多々あります。

もうちょっと美しくてセキュアな類似品が出てきたら、わりと勢力図が一変してしまうかも知れません。
# というか、出てきてくれないと困るくらい流行っちゃってる。

--
[わかってもらうことは難しい。わかってあげることは、もっと難しい。]

Re:メンテナンスされていないLinuxサーバほど質が悪いものは無い部門より

[Anonymous Coward]

> MOD（おそらく module の略）
modificationの類では？
これ [hatena.ne.jp]と同じような感じで

Re:メンテナンスされていないLinuxサーバほど質が悪いものは無い部門より

[kitsune.info (18329)]

あ、そうかも。それなら納得がいくかもです。
# 実装がひどいという評価は変わんないけど :-P

脳内で #857383 に「参考になる」と moderate しますた。

--
[わかってもらうことは難しい。わかってあげることは、もっと難しい。]

Re:メンテナンスされていないLinuxサーバほど質が悪いものは無い部門より

[Anonymous Coward]

>脆弱性が公開されてて、幅広く使われてるのは
>phpBB とか Pukiwiki 系ぐらいかな。

Pukiwikiにワーム感染するようなバグありましたっけ?

先月からXMLRPCのワーム、今月はMambo, Coppermine, PHPBBのワームが活動している事は知っていますがPukiwikiにワームに感染するバグがあるとは知りませんでした。

Re:メンテナンスされていないLinuxサーバほど質が悪いものは無い部門より

[nonolin (465)]

あー、確かにワームではないね。

Re:メンテナンスされていないLinuxサーバほど質が悪いものは無い部門より

[heno (10869)]

では拡散(感染したところから拡大)するのですか?

＃ここでのやりとりに問題があるならば
＃開発メンバーに直接メールして下さい
＃http://osdn.jp/projects/pukiwiki/

Re:メンテナンスされていないLinuxサーバほど質が悪いものは無い部門より

[heno (10869)]

話が終わっているかもしれませんが補足を (^^;

http://pukiwiki.osdn.jp/?PukiWiki/Errata

最近のPukiWikiの脆弱性に関する情報はこちらで
公開していますが、内容はどれもXSSに関するもので
「サーバーの侵害」を直接実現する類のものでは
ありません。

問題のあるバージョンと回避策などは記載する通り
ですので、該当するバージョンをお使いの方は
各自対応をお願いします。
(※バージョンが古いから管理者が何もやっていない、
  ということにはなりません)

添付ファイル機能の操作 を "第三者に公開すること"
については、XSS脆弱性に関連して、現在では禁止する
ことを推奨しています。(See Errata)

また、現時点でPukiWikiはPEAR XML-RPC パッケージを
使用していませんので、その脆弱性の話題は
関係ありません。