「Netscape/Mozillaにローカルファイル読みとりの脆弱性」記事へのコメント

ホントにコレ深刻なバグなの?

[gy0 (3393)]

個人的にMozillaにベタ惚れしてて、
しかもプログラミング関係の事が分からない人間の書いてることなので
話半分に聞いて置いた方が良いと前置きして書くけど。

まず、何故テスト対象のMozillaに1.0rc1が無いのかと
小一時間問いつめたい気分。
一応最新のマイルストーンで
しかも２週間前にリリースされてるんだから
(彼がNetscapeに報告した4/24日から考えても１週間前)
それぐらいテストの対象に入れろ、と。

それと、果たしてローカルの情報をサーバー側が取得できるのかなあという問題。
この事に関しては既にMozillazineでは論議のタネとなってますが(「Only Local?」以下 [mozillazine.org]

--
gy0

Re:ホントにコレ深刻なバグなの?

[kjm (1606)]

問い詰める暇があったらテストしてここに書き込んでほしい。

> ファイルの場所を狙い打ちしないと取ってこれないんではないかと。

/home/username/.ssh/{identity,id_dsa} とか /home/username/.gnupg/secring.gpg とか、username わかれば場所確定 でヤバげなものはいっぱいあるんだってば。

Re:ホントにコレ深刻なバグなの?

[kei100 (5854)]

~/～～～
じゃ、だめなのでしょうか？
# 無知ですいません。

まぁ、手順としては。

/etc/password
ゲット後、どれにするか決めると。
# Attn. 本人基本的にLinuxは駄目なので勘で書いております。

Re:ホントにコレ深刻なバグなの?

[Anonymous Coward]

>~/～～～
>じゃ、だめなのでしょうか？

$HOME の環境変数にきちんとした値が入っているならいけるんじゃないでしょうか。

>/etc/password
>ゲット後、どれにするか決めると。

すなわち、root で Mozilla 使っていると。

Re:ホントにコレ深刻なバグなの?

[Anonymous Coward]

~ の展開はshellのお仕事なので使えるわけがありません。
仮に使えたなら、もっと激しい大穴になっちまいます。