[debian-devel:16338] rubyのLOAD_PATH

[Junichi Uekawa <dancer@xxxxxxxxxxxxx>]

こんにちは，

ruby の LOAD_PATH が . を含んでいることが気になっています．他の言語で
は通例そういうことはしていないという前例があることから何か脆弱性がある
のか，という点が不安です．

Debian では apt-listbugsなどがroot権限で動作しているために，
rubyに脆弱性があると，root権限を取得できることになります．



LOAD_PATHの最後に '.' が来ているため，require 行で該当するファイルが存
在していない場合にのみ '.' をチェックするということになると思います．
root 権限で CWD=/tmp の場合に任意のコードを実行できる，というのが好ま
しくない結果になると思いますが，うまくそれを実現する方法がおもいつきま
せん．

$ ruby -e '$:.each{|l| print l+"\n"}'
/usr/local/lib/site_ruby/1.8
/usr/local/lib/site_ruby/1.8/x86_64-linux
/usr/local/lib/site_ruby
/usr/lib/ruby/1.8
/usr/lib/ruby/1.8/x86_64-linux
.



上川
-- 
dancer@{debian.org,netfort.gr.jp}   Debian Project