アカウント名:
パスワード:
私も、これを脆弱性と呼ぶのは違和感がありました。ただ、
厳密な言い方をするなら、脆弱性ではなく、仕様範囲内であっても使用者の意図と異なることが起こりうることをどう捉えるか、と言う問題ですね。
#598858でも書かれているように、仕様自体が脆弱性を内包していることもあり得ます。ですから、仕様通りの動作だから脆弱性ではない、ということはないかと思います。
どちらかと言えば私が気にしているのは、本当にこれは「ユーザーの意図せず行われる操作」なのか？ということです。
Explzhなどの一覧表示式アーカイバで件の書庫を開
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
Stableって古いって意味だっけ？ -- Debian初級
窓の杜の情報元は (スコア:0)
Re:窓の杜の情報元は (スコア:5, 参考になる)
何もかも脆弱性の一言で片付けてしまうと、本当の危険が隠れてしまいそうな気がするので、こういう情報を流す人は、危険度のランク付けをして、出来れば言葉も変えてほしいなぁと思いますね。
そもそも問題とされていることは、かなり以前から directory traversal問題として議論されたことですね。なんで今更、と言う感がぬぐえないです。
特に窓の杜の記事は、まるで自分たちが「発見」したみたいな書き方で非常に不愉快ですね。
厳密な言い方をするなら、脆弱性ではなく、仕様範囲内であっても使用者の意図と異なるこ
Re:窓の杜の情報元は (スコア:2, 興味深い)
私も、これを脆弱性と呼ぶのは違和感がありました。ただ、
#598858でも書かれているように、仕様自体が脆弱性を内包していることもあり得ます。ですから、仕様通りの動作だから脆弱性ではない、ということはないかと思います。
どちらかと言えば私が気にしているのは、本当にこれは「ユーザーの意図せず行われる操作」なのか？ということです。
Explzhなどの一覧表示式アーカイバで件の書庫を開
-May the sakura-cards be with you.-
Re:窓の杜の情報元は (スコア:1)
自分が直接指定したフォルダ(とその下位フォルダ)「のほかに」展開先が有り得るってことを
知ってる人がどれだけ居るか、って話でしょうかね。
つまり、
>「確認しないのが悪いじゃん」としか言いようがない気がするのですが……。
「確認すべき項目」が存在するのを、彼ら(誰?)は、知らないわけですよ。
>Explzhなどの一覧表示式アーカイバ
個人的には、こういう奴でないと安心できないタチですね。
いきなり実Filesystemに展開するんじゃなく、ワンクッションある奴が、落ち着く。
そんなわけでtar tfvは必須。
そして、そのクッション(?)「を」実フォルダへDragDropできるっていう点(俺的に言えばObject指向っぽさ)が嬉しい。
その点ではExplzh方式はtar tfvより強力ですね。tfvの出力はいちいち監視しなければ今回の問題を回避できませんが、
クッション「を」掴んで操作する操作体系だと、監視もへったくれもなく、対象物(のイメージ)が正にそこにあるんだから、
ハマりようがない。
こういう点が、GUIソフトの本来のメリットである「説明書読まなくてもいい」っていう点なんですよね。
そこにある「それ」を操作すればいいんだから、「それ」を間違いなく(他と取り違えずに)手にする手段を
悩む必要がないし、
「それ」がそこにあるんだから、それを(取りこぼさずに)見つける手段も
悩む必要がない。
「それ」の数が多くなりすぎたら、アイコン相手の手作業じゃ手におえなくて、CUIが恋しくなったりするわけですが、
何が起きるか全て判っている人にとってはそれでOKでしょうけど、
判ってなくて探索型の振る舞いをせざるを得ない人にとっては、
「それ」が適切なタイミングで目の前に立ち表れるUIのほうが、ずっと「安全」でしょうね。
モノを、適切な単位で1つに固めた状態にして、それを人(ユーザなりプログラマなり)に見せる、
そうすれば人間が直感的に間違いにくくなる、
っていうのがObject指向の肝なんだよね。＃ちなみに隠蔽や継承は2次的なものです。
>脆弱性の悪用拡大を防止する目的で、情報元などの詳細に関しては割愛する。
どうなんだろう？
こんな「簡単に」実施できてしまうアタック方法は、
ちょっとでも悪意のある奴はホイホイやっちゃうだろうし、
原理が自明といってもいいくらいに単純明快だから、情報元を紹介(照会)するまでもなく、
その杜記事だけで充分に「悪用拡大」に貢献しちゃうんじゃないかな。
つまり、「もう遅いよ…」って奴。