「既知の脆弱性を含むコード、時間がなければ仕方なくデプロイする？」記事へのコメント

未知の脆弱性が既知になったとき、時間がなかったら放置する？

[Anonymous Coward]

ある人はサーバーをダウンさせ、その結果ひどいことになった。

あるサイトは(滅多に行わないと自称する)コメント削除に追われ、
脆弱性のあるtest用サービスを長期間稼働させたままにしていた。

sradでも似たような経験はないのだろうか？
もしあったとしたらどういった対処をしたのか知りたいです。
これって、トリビアになりますか？

Re:未知の脆弱性が既知になったとき、時間がなかったら放置する？

[Anonymous Coward]

Windowsが参考になるのではないでしょうか？

マイクロソフト流で、バグ隠し修正。
バグのライブラリーの修正行わずに、
呼び出す前に、判定を持たせてバグが出ない様に値を修正する。
いつかライブラリーを直した時に合わせて元に戻す。
ただし修正に失敗すると一度治った筈（実際は治ってないので）のバグが再び現れる。

＃修正箇所の数が多数あると事故りそう。実際事故ってるいるからね。

Re:未知の脆弱性が既知になったとき、時間がなかったら放置する？

[Anonymous Coward]

Windowsが参考になるのではないでしょうか？

マイクロソフト流で、バグ隠し修正。
バグのライブラリーの修正行わずに、
呼び出す前に、判定を持たせてバグが出ない様に値を修正する。
いつかライブラリーを直した時に合わせて元に戻す。
ただし修正に失敗すると一度治った筈（実際は治ってないので）のバグが再び現れる。

これはあるあるすぎて

VisualStudio 6.0というかVC6のころが最高潮だった
コンパイラがクッソみたいないらねえ警告わんさか出してきたり
template使いすぎた程度でエラーになって止まってくれたりりして
誰もがその警告止めたりするための#pragma ＜番号＞とかそらんじて必ず記入させられてた

しかも付属STLからして産廃すぎて誰もがSTLport使ったりしてたし
std::stringあたりからもう腐りすぎてて、コンソールアプリ作るだけのことにもわざわざCString _T()とか、_tprintfやConsole::WriteLine使ってムダにATL/WTLやMFC使ってた

サービスパックがリリースされるたびに、もしかしたら直してくれてるんじゃないかと期待しながら当てるのに結局6まで入れてもゴミだったんだよなぁ…
おまけに満を持してリリースされたVS.net 2002もゴミすぎて話にならなかったという…
VS.net 2003からだよ、MSがまともに作るようになってくれたの

Boostとか、まだVC6サポートしてたころの当時の名残りがあるんじゃないの？

Re:

[Anonymous Coward]

いつだって旧作はクソだぜ
安全じゃないと喧伝されまくる いまのC++も、10年後にはクソ扱いになる

…に違いない、そうでないと困る
(C++が進化しているはずだということ)

Re:

[Anonymous Coward]

それって今もじゅうねんごもＣ＋+は変わらずクソということでは。

Re:

[Anonymous Coward]

Rustに食われて消える定めだよ。
固執する意味がわからない。

Re:

[Anonymous Coward]

それって脆弱性の話なの？

Re:

[Anonymous Coward]

VC6って、そもそもC++98が固まる前の製品だからな。C++自体の統一規格が出来る前。ドラフトしかない時代。
C++98が固まっても、VC6という製品として、出してしまってるんだからサービスパックで互換性無くわけにもいかず、ISO規格との非互換部分もそのままにするしかなかった版

STLにしても、当時はSTL名乗ってても、メーカーやコンパイラ独自の機能追加が当たり前で、gcc向けの(GCC向けに拡張された)STLを他でも使えるように移植するのが、当たり前みたいな時代やん。

Re:

[Anonymous Coward]

隙きあらばMS難癖。

Re:

[Anonymous Coward]

つ 苦肉の策

あまりにも多すぎるのは別ですけど

Re:

[Anonymous Coward]

邪悪なM$君が召喚されてる

Re:

[Anonymous Coward]

くだらん。