w3mに再び脆弱性発覚、0.3.2.2リリース

k3c 曰く、 "先日セキュリティーホールが発見されたばかりのw3mに再びセキュリティホールが見つかり、新バージョン3.2.2.2がリリースされている。今度の穴はimgタグのalt属性中のHTMLタグをエスケープしていなかったというものらしい。今回もローカルファイルやクッキーにアクセスできる可能性があるということなので、アップデートすべし。"

エスケープ？

[tix (7637)]

珍しくセキュリティセクションローカルですね。

IMG 要素の alt 属性をエスケープしていなかった、って……。

alt 属性を HTML 文書中に展開するという設計だとしたら、その設計自体がまずいような気がします。 HTML 文書を parse して構文木を作った後で IMG 要素の処理を行うという設計のほうが、きれいで安全であるように思います。

でも、自分では書けません。どういう経緯で今の設計になっているかも、ぼくは知りませんし。使っておいて文句を言うだけでごめんなさい。

ところで、誰でも気付くと思いますが、タレコミ文中「3.2.2.2」は正しくは 0.3.2.2 ですよね。

--
鵜呑みにしてみる？

Re:エスケープ？

[securecat (3946)]

IMG 要素の alt 属性をエスケープしていなかった、って……。

最近業務でBugzillaを利用しているのですが、新バグの登録画面で下のほうに
　　いくつかのフィールドはあなたのブラウザ（ほにゃらら）
と出るんですけど、このほにゃららがエスケープされてなくて、レジストリいじってmarqueeとか入れて置くと笑えるというか何と言うか。
alt属性にせよ何にせよ、本当に「エスケープしてない」系のものが多くて残念です。

Re:エスケープ？

[tix (7637)]

亀レスなので読んでもらえているかどうかわかりませんが……。

レジストリいじってmarqueeとか入れて置くと笑えるというか何と言うか。

バグを投稿するためのページ中の User-Agent がエスケープされていなくても、いきなりセキュリティホールにはならないと思いますが、この手のバグに予断は禁物です。結局セキュリティホールでも何でもなくて、笑って済ませられる問題かもしれませんが、ぜひ報告 [bugzilla.org]を。

--
鵜呑みにしてみる？

Re:エスケープ？

[securecat (3946)]

御意。しかし、ざっと英語でつらつら書けないのと、時期が時期だけに、会社のBugzillaのバージョンとか調べたいので(たぶん多少古いんじゃないかと……)、年明けに書くという方向で。