04/01/24 21:51
>>436
＞>新標準スクリプトへの差し替えを薦めるメールにも旧標準を使っても良いとしていた。
＞この時期は、データ漏洩の恐れには気がついてなかったと思われ。
＞変なファイルが作成されるかもしれないぐらいにしか思ってなかったと思うぞ。
スクリプトについては気が付いていたかどうかではなく、原因となったかどうかが問題ね。
故意にそんなスクリプトを作ったわけじゃないだろうとは思うけど、それに気づいていなかったのは単にショボいだけのこと。そんなの理由にならないよ。
原因となってしまったならちゃんとフォローすればいいだけのことだけど、ファーストサーバはだんまり逃げを決め込んでる。それはどう考えても賛同できることじゃない。
ミスは誰にでもあるんだし、過剰に責めても意味は無い。
＞で、あの脆弱性が発見されたのは最近だろ。
＞それでfsvがどうのってのに直接影響はないとは思うが、、、
テクニカルな部分では、ずいぶん古い手法。hidden フィールドの書き換えはWEBアプリの古典的攻撃手法だと思う。
スクリプトそのものに存在することはofficeと森川のメールとやらを信じるなら昨年八月くらいにわかったと思われる。
セキュリティホールを完全に防ぐ事は事実上不可能だと思うんだよね。あとは見つかったときにどうするか。その対応なのよ。
＞今後ファーストサーバの全責任で提供CGIを運営していくという対策をとったということで、
＞マイクロソフトがやってるUPDATEと同様に一般的な責任はとったことになるだろ。
今度から気をつけます、なんてのが通じるのは小学校くらいまでだと思うよ。
始末書書かされるってのは賞罰でいうところの罰にあたるわけで。人事考査の対象だったりする。
ファーストサーバはそれに相当することをしていないよな。ACCSは報告書の形で出したけどファーストサーバはメディアに名前が出てないのをいいことに息を潜めてる。
ファーストサーバのスクリプトに責任をかぶせるんじゃなくて、ファーストサーバの対応がなってないってことなのよ。
説明責任を果たして、それから改善すればいい。今のファーストサーバは何も説明してないし、どんな改善をするのかなんてことも当然わからない。
それが一番の問題だと認識してる。