Hiroyuki Ikezoe
poinc****@ikezo*****
2007年 12月 17日 (月) 13:55:01 JST
gniibeひろゆきです。 すごく遅くなってすみません。 2007-12-03 (月) の 17:22 +0900 に MATSUU Takuto さんは書きました: > kazehakase-0.4.8までに含まれていたPCREについてですが、 > 最近見つかったPCREの脆弱性(*1)の影響の度合いを調べています。 > > 私の解釈では、 > > 1.kazehakaseに含まれていたPCREはmigemoと履歴とブックマークの処理で使用している > 2.利用者が入力した文字列に対してのみ適用される > 3.リモートからのアタックで悪用されない > > と考えているのですが、この認識はあっていますでしょうか。 1はそのとおりです。 ただ、スマートブックマークの処理で使っているので、HTMLページ内に選択され た文字列がある状態で、マウス中クリックすると、PCREによる正規表現マッチが 動きます。 そういうわけで、Javascriptで文字列を選択させておいて、『マウスの中ボタン を押してください。』とかいうメッセージを出すページを作ると、リモートから アタックされることになると思います。 もとの脆弱性が分からないので、平気かもしれませんが。 -- Hiroyuki Ikezoe
