「SUSE Linux 10.0リリース、直前にはサイト書き換えのクラックも」記事へのコメント

やっぱオープンソースはだめなのか?

[Elbereth (17793)]

こんなこと書いたけども [srad.jp]、続いて同様の事件が起きるとなると、
意見を変える必要を感じてしまう。

Re:やっぱオープンソースはだめなのか?

[Technical Type (3408)]

Nimda が日本で一気に広がったのは マイクロソフトの情報ポータルMSNが感染したから [nikkeibp.co.jp]、という事もあるので、クローズドソースでも駄目という結論になるが、ただ Xoops に関しては

• XOOPSに2種類の脆弱性、SQLインジェクションにつながるおそれも [itmedia.co.jp]
• XOOPSの公式サイトに不正侵入，「Apacheのセキュリティ・ホールが原因」 [nikkeibp.co.jp]

など、脆弱性を連発するし、そもそも開発チームもセキュリティーをあまり重視していないと思われるので、便利なのには違いないだろうけど、Xoops を採用したら最後、セキュリティー情報には目を光らせ、出たらすぐにパッチを当て

Re:やっぱオープンソースはだめなのか?

[Anonymous Coward]

>セキュリティー情報には目を光らせ、出たらすぐにパッチを当てるという、
>運用面で犠牲が求められるツールなので、導入には「覚悟」が必要だな。

それはXOOPSに限らず、全てのソフトウェアに関しては同じ話。
別のモノを使っていれば、セキュリティ情報に眼を光らせなくても
良いという道理はないでしょう。

>最初からセキュリティーを良く考えて作られた qmail とかは、
>オープンだけどさっぱり脆弱性を出さないし。

qmailがなぜ脆弱性が少ないのかは、セキュリティを良く考えて
作られたからというよりも、機能が非常に少なくて単純だから
だと思いますよ。
qmailのオリジナルそのまま単体で使っているところは少なく、
変更（修正）パッチを当てたり、tcpserverやvpopmailなどと
組み合わせて機能補完をしているところがほとんどだと思います。

なお、さっぱり脆弱性がないわけではなく、qmailも64bitOSでの
運用は想定していなかったらしく、64bit環境下では問題がある
という報告があります。