「Apache Commonsライブラリに脆弱性、多くのアプリケーションに影響」記事へのコメント

100% Pure Java でも？

[Anonymous Coward]

（今は知ってる人がいるかどうかは知らないけど）アパチコモンズて「100% Pure Java」でしょ？そんなコードでもネイティブ・システムに脆弱性をもたらすのなの？

Re:

[Anonymous Coward]

今回のはサンドボックス有効なら影響ないけど、普通は意図したときには Runtime.getRuntime().exec("rm -rf /"); したいというのの裏返しで脆弱性があれば許可された範囲内でも充分問題になる

Re:

[Anonymous Coward]

Collections で、そんなことすんのかなぁ？

Re:

[Anonymous Coward]

任意のコードが実行出来るので、何処の脆弱性かは関係ないんじゃ

Re:

[Anonymous Coward]

それを言い出したら、科学・技術計算用ライブラリーでも、exec とからやっていいじゃん？今回の事例は、データベースにアクセスするとか、組み込み機器の制御をするとかじゃない、純粋なデータ処理だけのライブラリーであるはずの Collections だったから、exec とかはないだろうってゆう、想像したんだよ。

Re:

[Anonymous Coward]

お前は何を言ってるんだ・・・

# 本来の用途と脆弱性によって可能になる挙動を一緒くたにするんじゃない

Re:

[Anonymous Coward]

そんなこと百も承知だけどね。例えば「リスト構造」を実装するのにネイティブなプロセスにアクセスしたりせずに、ふつうに Java 言語内で閉じるような実装にするって感覚だよ。それって普通の感覚じゃないの？

Re:

[Anonymous Coward]

脆弱性で任意のPure Javaのコードが実行出来る結果として、Pure Javaな攻撃コードからネイティブのプロセス起動出来るだけ。
Collectionsで何で脆弱性発生するんだよって感覚自体は理解できるが、Java言語内で閉じてるかどうかと安全かどうかは直行してると認識しないと危ないよ。

Re:100% Pure Java でも？

[Anonymous Coward]

ちなみに、補足ですが、「100% Pure Java」の定義では、環境に依存するコードを含まないことが条件なので、Runtime.exec などを含むこーどは、「標準 Java API だけを使うコード」だとしても「100% Pure Java なコード」ではありません。

Re:

[Anonymous Coward]

いちお、
http://sp.e-words.jp/w/100-_Pure_Java.html [e-words.jp]