アカウント名:
パスワード:
本家のスレッド読むと、serialize/deserializeをコマンドラインから直接たたかない限りだ大丈夫とか、入力サニタイズすればいいだけとか言ってるように見えるんだけど、実際どうなん？
コード立証ページも、立証というより放置されたことへの腹いせ感情論な感じがするし。そりゃApache Commonは使ってるところ多いだろうけどさ。
RPCやクッキーのような外部データをオブジェクトとして受け取る口があればcommons-collections.jarがクラスパスにあるだけで死ぬ。デシリアライズした時点で任意コードが実行されるので、バイト列に対してのサニタイズになるんでサニタイズは難しくて、デシリアライザをカスタマイズしてClassのリゾルブに制限かける形になると思う。
問題提起側の一人である Gabriel Lawrence 氏が Apache Commons のメーリングリスト [markmail.org] で
> We've tried to be pretty clear to people that this isnt a problem with the libraries,
といっているので Apache Commons が何か間違えている，という話ではなさそう。
サニタイズ言うてもシリアライズされたオブジェクトを事前検証するって難儀な話ですわなserializer/deserializerやreflectionって怖いことやってるのに何か気楽に使われるよなぁ…
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
物事のやり方は一つではない -- Perlな人
これどうなん (スコア:1)
本家のスレッド読むと、serialize/deserializeをコマンドラインから直接たたかない限りだ大丈夫とか、入力サニタイズすればいいだけとか言ってるように見えるんだけど、実際どうなん？
コード立証ページも、立証というより放置されたことへの腹いせ感情論な感じがするし。
そりゃApache Commonは使ってるところ多いだろうけどさ。
Re:これどうなん (スコア:4, 参考になる)
RPCやクッキーのような外部データをオブジェクトとして受け取る口があればcommons-collections.jarがクラスパスにあるだけで死ぬ。
デシリアライズした時点で任意コードが実行されるので、バイト列に対してのサニタイズになるんでサニタイズは難しくて、
デシリアライザをカスタマイズしてClassのリゾルブに制限かける形になると思う。
Re:これどうなん (スコア:1)
問題提起側の一人である Gabriel Lawrence 氏が Apache Commons のメーリングリスト [markmail.org] で
> We've tried to be pretty clear to people that this isnt a problem with the libraries,
といっているので Apache Commons が何か間違えている，という話ではなさそう。
Re:これどうなん (スコア:1)
サニタイズ言うてもシリアライズされたオブジェクトを事前検証するって難儀な話ですわな
serializer/deserializerやreflectionって怖いことやってるのに何か気楽に使われるよなぁ…