「EximのGHOST脆弱性の影響とバリデーションの関係 | 徳丸浩の日記
gethostbyname関数を修正した方がはええよなあと思いました。まあ今回はupdateで済むわけなんですが。
何故それを入力値のバリデーションとかで回避しようとするのか意味不明ですが、むしろ下手な入力値バリデーション実装のバグのせいで業務アプリが「セキュリティ的には大丈夫だが業務要件を満たさない」という悲しい事態になるし。
脆弱性というのは、「見落としやミス」まあ、「テスト考慮漏れ」なわけでして、gethostbynameを使う所の部品がgethostbynameを信用していない、とかになってくると、全部一人で実装するもん！みたいな地獄にハマる訳ですが、近代的なプログラムでは、如何せんどこかのライブラリを使う訳でして、そのウチ「OSの機能を使う前に全てのOSに投げる値はバリデーションする」みたいになると悲劇的ですね。
とあるライブラリの脆弱性が発見されたが、それを利用しているにも関わらず脆弱性の影響を受けない、というのは、何かしら不健全であるような気がするんですが、どうなんでしょ。
