2004年04月21日

CVSってどうにも

  • CVS 1.11.14 / 1.12.6 以前に欠陥。CVS におけるパスの扱いに欠陥があったようだ。
    悪意あるクライアントは CVS サーバ上のあらゆる RCS アーカイブファイルをリクエストできてしまっていた。 やられサーバから見ると、悪意あるクライアントによって公開しているつもりのない RCS アーカイブファイルを取得されてしまう危険があった。
    悪意あるサーバはクライアントに対してあらゆるパスを指定できていた。 やられクライアントから見ると、クライアントに書き込み権限のあるファイルを悪意あるサーバにより上書きされる危険があった。
またどでかい穴ですね(^^;;
良くこんな穴が今まで見つからなかったものだなぁと思います。

CVSってソース管理には大変楽なんですが、どうにもセキュリティには全く信用置けなくて閉じた環境以外では使う気になりません。

かといってApache2+WebDAV+Subversion+OpenSSLはまだ若いのでもっとすごい爆弾が隠れてそうだから、もうしばらくはCVSでがんばる予定です。

Posted by Takuchan at 2004年04月21日 09:56 | トラックバック(0)