Rails 2系のXSS脆弱性がRuby 1.9では影響なしとされる理由 - 岩本隆史の日記帳（アーカイブ）

Rails 2系のXSS脆弱性を修正するパッチが先日公開されました。 4日(米国時間)、Ruby on Railsの2系すべてのバージョンにXSSの脆弱性があることがRiding Rails: XSS Vulnerability in Ruby on Railsにおいて発表された。特定のUnicode文字列を使ってチェックをくぐり抜け、任意のHTMLを送り込まれる危険性がある。なおRuby 1.9系で動作しているアプリケーションはこの影響を受けない。 http://journal.mycom.co.jp/news/2009/09/07/048/index.html この件に関して、大垣さんは次のように説明しています。 RoRの脆弱性に関連してRuby1.9では安全、と解説されていますが、それはRuby1.9は不正な文字エンコーディングを受け付けないからです。 何故かあたり前にならない文字エ

[rochefort]

「input要素のvalue属性値がサニタイズされています。textareaの内容については、escape_onceメソッドを通らないためサニタイズされません。」textareaもサニタイズするか。

[rna]

Railsのメンテナはへっぽこちゃう? という話。

[gorn]

たしかに「例外が起きるから放っておこう」というメンテナの態度は使う気が失せても仕方ないな

[kazuhooku]

たとえばブログの場合、誰かに壊れたUTF-8を含むコメントを書き込まれちゃうと、そのブログ全体にアクセスできなくなる(最新コメント一覧に出るから)んじゃないか。XSSが発生しないだけで脆弱性があることは変わらない

[mumincacao]

この手の穴ってちゃんと根本から塞いどかないと別のとこ修正した影響でひょっこり出てきそうでこわいにゃぁ・・・　（´・ω・｀；【みかん

[willnet]

RoRの脆弱性に関連してRuby1.9では安全→Ruby1.9は不正な文字エンコーディングを受け付けないからです×／ETag生成処理時にたまたま正規表現マッチが行われ、Ruby 1.9ではそこで例外が発生するから○

[MinazukiBakera]

調査しなければ、と思っていたところ。ありがたや。なんとblank?メソッドで例外が発生していたとは。

[ockeghem]

大変詳しい報告をありがとうございます。まぁそんなものだろうなと思いましたが、正規表現で例外を発生させるのはセーフティネットとしては有効かと思います。根本対策ではありませんが…