Re: [Translate]security/2003/dsa-253.wml - 254.wml

[Taketoshi Sano <kgh12351@xxxxxxxxxxx>]

佐野＠浜松です。

In <20030301.085729.60847410.debian@xxxxxxxxxxxxxxxxx>,
  on "Sat, 1 Mar 2003 08:57:32 +0900',
 Tomohiro KUBOTA <debian@xxxxxxxxxxxxxxxxx> さん wrote:

> 久保田です。
>> 郷田です。

作業ありがとうございます。

> (dsa-254)

> Though, most probably not in Debian.
>
> たぶん、most は「大部分」ではなく、probably にかかる副詞じゃないかと
> 思っています。また、not 以下、動詞までもが省略されてしまっていますが、
> たぶん直前の文の内容 (can be exploited by a remote attacker) がくると
> 思います。そこで、
> 「この脆弱性は、Debian ではおそらく攻撃に利用できないだろうと思われる」
> とかだと思うのですが、most という最上級が使われている理由がよく
> 分からないのです。

 most prob で eijirou を検索したら

most probable cause 
   一番ありそうな原因
most probable fault 
   一番起こりそうな故障
most probable number 
   最確数◆【略】MPN
most probable position 
   最も確からしい位置◆【略】MPP
most probable value 
   最確値

という例が出てきました。

Fortunately, the Debian package drops privileges quite early after
startup, so those problems aer not likely to result in an exploit on a
Debian machine.

という文があるので、"those problems" にはその直前の
(既に修正された) security flaw だけでなく、本題である

 A buffer overflow occurs in the 'get_origin()' function. 

についても

「ただし、Debian 上でこの脆弱性を利用してリモートから
  root 特権を奪取することは、非常に難しいと思われる。」

ということを書きたかったのではないでしょうか。

# 関係ありませんが、上の原文 (メールから引用) の
# "those problems aer" って "are" の typo ですよね。

>> <p>The Common Vulnerabilities and Exposures (CVE) プロジェクトは
>> さらに、以下のような脆弱性を確認しています。これらは、Debian の中では
>> 現安定版 (stable)(woody) と旧安定版 (potato) で修正されたものであり、
>> その完全性に言及されているものです。(また、他のディストリビューション
>> については個別の勧告が出されます。):
>
> 「完全性に言及されている」ですが、言及しているのは、CVE プロジェクト
> ではなく、dsa-254 だと思います。つまり、すでに修正が出されているけど、
> 念のため、もう一度ここに書いておくよ、という意味だと思います。
> なぜなら、「are mentioned here」と、「here」が使われているからです。
> 他のディストリビューションについての部分が、「since」でつながっているのが
> よくわからないのですが。

「もう一度書いておく」の理由として、
「念のために for completeness」という理由の他にも、

  どうせ他のディストリビューションは
  これらの security flaw についても
  (Debian では既に修正済みだけど、まだ修正
   できていなかったところも多いだろうから)
  きちんとそれぞれの flaw についてパッケージの
  修正と advisory の発行が必要になる (だろう)

   (それだから、これらの flaw についてもどこかで
    「修正済み」というアナウンスを書いておかないと、
    「Debian はこれらの flaw に対処していない」と
    誤解したり、思い込みからデマを流したりすることが
    無いとも限らないでしょ ? ;)
  
という、ちょっと意地悪な理由がある、ということでは
ないでしょうか。

# 書いたほうも「ちょっと嫌味かな〜」などと
# 考えて、() の中に書いたんでしょう、きっと。

-- 
 ＃ (わたしのおうちは浜松市、アカウミガメのふるさとの街)
   <kgh12351@xxxxxxxxxxx> : Taketoshi Sano (佐野　武俊)