[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

Re: cgiemail po-debconf 訳

  かもです。

From: Hideki Yamane <henrich@xxxxxxxxxxx>
Date: Sat, 10 Jul 2004 01:22:34 +0900
Subject: cgiemail po-debconf 訳

>> 　やまねです。
>> 
>> 　cgiemail の po-debconf 訳です。査読願います。

>> #. Description
>> #: ../templates:4
>> msgid ""
>> "In old versions of cgiemail, templates that were used for creating e-mails "
>> "to be sent could be placed anywhere that would be served up by the web "
>> "server.  This behaviour is a security vulnerability: an attacker can read "
>> "files that he shouldn't be able to, such as scripts in cgi-bin, if they "
>> "contain certain pieces of text."
>> msgstr ""
>> "cgiemail の以前のバージョンでは、送信されるメールの作成に使われる web サーバ"
>> "が出力するテンプレートは、どこにでも配置できました。この挙動はセキュリティ上"
>> "の脆弱性となります: テンプレートがそのようなテキストの一部を含んでいた場合、"
>> "攻撃者が cgi-bin にあるスクリプトのような読めるべきではないファイルを読める"
>> "ことになります。"

cgiemail の以前のバージョンでは、送信されるメールの作成に使われるテン
プレートは、web サーバが使用するディレクトリならどこにでも配置できまし
た。この挙動はセキュリティ上の脆弱性となります: テンプレートがある種の
文字列を含んでいた場合、cgi-bin にあるスクリプトのような読めるべきでは
ないファイルを攻撃者が読めることになります。

  "if they contain certain pieces of text" というのは、たとえば
http://web.mit.edu/wwwdev/cgiemail/user.html#template に列挙された条件
を満たす場合、でしょう。

===
  加茂智之 ◇ kamo@xxxxxxxxxxxxxx