KDEのJavaScriptインタプリタに脆弱性

あるAnonymous Coward曰く、"KDE の JavaScript エンジンにヒープ・オーバーフローが見付かり、 修正されました。アドバイザリ によると、この脆弱性は KDE 3.2.0 から 3.5.0 までに含まれています。 具体的には、UTF-8 を含む URI のデコードあたりに問題があった模様です。これは Konqueror で利用されていますので、多くの KDE ユーザが影響を受けるはずです。3.3 までと 3.4 からの二種類のパッチが post-3.x.x-kdelibs-kjs.diff というような名前で FTP に用意されています。"

で、Safariは？

[KENN (3839)]

どうなるの？

KHTMLって、Javascriptインタープリタも入るのかな?

Re:で、Safariは？

[elsee9 (15678)]

KHTMLはMac OS XでいうWebCoreに当たります。
今回修正されたKJSに当たるJavaScriptCoreは、もしかしたら
同じように脆弱かもしれません。

Re:で、Safariは？

[Acanthopanax (5019)]

KDEでパッチが当たるファイルはkjs/function.cppですが、JavaScriptCoreのkjs/function.cpp [apple.com]をみると、このパッチが当たりそうな部分はないみたいですね。

Re:で、Safariは？

[elsee9 (15678)]

WebCore(とJavaScriptCore)のページ [apple.com]を信じると、
KDE3.0.2ベースということなので、今回の対象ではないのかも
知れませんね。

#若干情報が古そうなのが気になりますが

Re:で、Safariは？

[bero (5057)]

該当ページの情報は古いです。
そこで公開されているのはSafari 1.2相当ですが、
現在では最新のものはopendarwinのsvnでリリースされてます
http://webkit.opendarwin.org/ [opendarwin.org]

Re:で、Safariは？

[nInfo (14824)]

KHTMLではなく、KJSです。KJSはJavaScript Coreにも使われているので、
該当する脆弱性があるかもしれません。
Mac OS X Technology Overview: Web Kit [apple.com]

Re:で、Safariは？

[Anonymous Coward]

あてずっぽうですが、Safariは入らない気がします。
というか、Macの->UTF8エンコーダって、独自というか独特というか…

対応が早いなぁ

[makochi13 (25998)]

SUSE Linux 1.0を使っているのですが、ニュース [itmedia.co.jp]で知るより先にセキュリティアップデートの通告がでたのですぐにアップデートしました。

オンラインアップデートがこんなに早くできるとは対応が早いなぁと思ったのですが、他のディストリビューションはどうなんでしょう？

Re:対応が早いなぁ

[Anonymous Coward]

SuSEのセキュリティ対応が出来るまで勧告を待ってくれていただけ。 普通はこういうふうに主要ベンダーの対策が終わるのを待って、 修正と勧告が同時に出る。

Re:対応が早いなぁ

[Nemea Lion (28206)]

[SECURITY] Fedora Core 4 Update: kdelibs-3.5.0-0.4.fc4 [redhat.com]

FC4 (Fedora Core 4) は今朝手動 yum update したら kdelibs が update されていましたね。
上記アナウンスでしょう。
アナウンスの日付は 20 日になってるので、もっと早く update されていたのかも。

Re:対応が早いなぁ

[Henrich (121)]

>SUSE Linux 1.0を使っているのですが

え、それは大変、すぐに10.0にアップグレードを ;-)

Debian は DSA 948-1 (Date: Fri, 20 Jan 2006 15:35:19 +0100) で修正。
大体時間は同じですね。

Re:忘れ物をお届けにまいりました

[Anonymous Coward]

申し訳ありません。
現在私がリリース中の人間v2.0-jpに致命的なセキュリティホールが見つかりました。
これは主に正月になると定期的に発生するもので、コメv1.2-motiをふかして臼と杵でついて小さく丸めたものを食べると、喉に詰まらせてしまうという脆弱性です。

対処方法としては、uptimeの長いプロセスはモチを食べない、もし詰まったら場合は掃除機で吸い出す、です。この脆弱性を修正したバージョンは次の100万年内にリリースする予定です。

－－ 神

Re:忘れ物をお届けにまいりました

[Anonymous Coward]

>現在私がリリース中の人間v2.0-jpに致命的なセキュリティホールが見つかりました。

どういうことだ？

>これは主に正月になると定期的に発生するもので

なに　かんがえてんだ！

>臼と杵でついて小さく丸めたものを食べると、喉に詰まらせてしまうという脆弱性です。

なにもかも　あんたが　かいた
すじがきだったわけだ。

>この脆弱性を修正したバージョンは次の100万年内にリリースする予定です。

おまえのために　ここまで
きたんじゃねえ！
よくも　おれたちを　みんなを　おもちゃに
してくれたな！

>－－ 神

つチェーンソー

Re:忘れ物をお届けにまいりました

[Anonymous Coward]

神様、

次期バージョンのリリースに際しては、
テストケースに佐賀県の風習のもちすすり（餅吸い）での
入力チェックの検証も含めておいてください。

--
佐賀県のもちすすりとは？
お正月等のめでたい時期に、お年寄りたちが人前で、
一升以上の量のつきたての柔らいもちを湯にひたして
引き伸ばして、噛まずにつながったまま一気に全部
飲み干して見せる食べ方で、その量と速さを競い合うために
誤って喉に詰まらせて亡くなられる方が多発することが
恒例となっていますが、風習自体は改められる気配が無いため、
人間側の脆弱性を修正するしか今の所対は応方法が無い状態です。

Re:忘れ物をお届けにまいりました

[arkas (10211)]

s/Linux界隈/ソフトウェア業界/;

Re:忘れ物をお届けにまいりました

[Anonymous Coward]

モデレートにマジレスかこわるい。

>モデレータさんも含め、元のにおもしろおかしい付けるぐらいの優しさを持ってください～

　嫌です。

# みんなが「おもしろおかしい」と感じる書き込みをするくらいの感性を持ってください～

Re:Linuxを使わなければいい

[Anonymous Coward]

*BSDでもKDEは使えるのに皮肉を書いてもらえるのはLinuxだけなのか… orz
by FreeBSDユーザー

Re:Linuxを使わなければいい

[Anonymous Coward]

#868714のACよりマジレス
*BSD使いは、余程の勘違い馬鹿以外は「いずれはデスクトップOSのスタンダード」なんて主張してないでしょ?
開発する人間も使う人間もそのあたりを心得ているのだ感じていたんだけど、そうでもない?

Re:Linuxを使わなければいい

[Anonymous Coward]

#868874のACよりマジレス
忘れられているようで少し悲しかっただけですよ。それよりは面白いコメントになればいいなと思って書きました。

あと#868714のACさんも承知の上で煽っているんだろうけど、KDE on Cygwin [sourceforge.net]なんてものまであるので、下の層とは話を分けたほうがいいんじゃないのかなぁと。

Re:Linuxを使わなければいい

[Anonymous Coward]

KDE がなければ Gnome をつかえばいいじゃないの？

Re:別に何の問題もなし

[Anonymous Coward]

ウイルスは一種の愛情表現だと思ってましたが。

今回発見した人だって、KDEへの愛にあふれているものとばかり。

Re:別に何の問題もなし

[Anonymous Coward]

そうそう、使い物にならなくて過疎ったKDEを相手にするほど、ウィルス作者も暇じゃないよな。