新生鳩丸掲示板♯

神奈川県で実施されても横浜以外の県内の台数がめっさ少ないのであまり意味なし…。

>だそうなので、趣旨と違うのでは？

>そのユーザーだけが被害を受けるものなら。

　実を言うと問題は二つありまして、

・既知の脆弱性によって脆弱になっているサイトをどうするか

・既知の脆弱性によって未知の脅威が発生している場合にどうするか

　前者に関しては基本的に情報セキュリティ早期警戒パートナーシップの枠外です(ただしこの場合も、IPA の方が気を利かせて任意で情報を通知してくれることがあります。ありがたいことです)。

　どちらかというと問題なのは後者です。この件は現在のところ、JVN でも東芝のサイトでも「オープンプロキシとして踏み台にされる」という脅威だけが問題にされています。管理画面から情報が漏洩する危険性については一切触れられていないので、そこをどうするべきかというところがなんとも。

ソフトウエア等脆弱性関連情報取扱基準によると

＞本基準は、以下に掲げるものの脆弱性であって、その脆弱性に起因する

＞被害が不特定多数の者に影響を及ぼし得るものに適用する。

だそうなので、趣旨と違うのでは？

そのユーザーだけが被害を受けるものなら。

>徳丸です。いつも丁寧なコメントありがとうございます。

>コメントを以下に書きましたのでご笑覧ください。

>http://d.hatena.ne.jp/ockeghem/20070428/1177750243

　どうも、お世話になっております。こちらこそご丁寧にありがとうございます。

　脆弱性の呼称は本当にややこしいので、体系的にまとめてほしいですよね。

徳丸です。いつも丁寧なコメントありがとうございます。

コメントを以下に書きましたのでご笑覧ください。

http://d.hatena.ne.jp/ockeghem/20070428/1177750243

>それは XML 宣言ではなくてテキスト宣言というやつです。

　あー、そうなのですね。なるほど。

　XML の DTD はほとんど扱ったことが無いので、素で知りませんでした。

　ありがとうございます。

> 先頭が XML 宣言になっていてびっくり。

それは XML 宣言ではなくてテキスト宣言というやつです。

http://www.w3.org/TR/REC-xml/#sec-TextDecl

> External parsed entities SHOULD each begin with a text declaration.

なので、むしろ書いてある方が好ましいのですが。

# でも W3C 自身全然使ってないという。

ともだちコード339392025711です

RSSおかしいよって言おうと思ってて毎日わすれてました。

なおってよかた。

>「415 Unsupported Media Type」あたりでしょうか。

>HTTP/1.0では定義されていませんが、知らない4xx系のエラーコードは400とみなすことになっていたはずなので大丈夫です。たぶん。

　とりあえず 415 を吐くようにしてみました。

　しかし、エラー画面もちゃんと作りたいですね……。

当方も、HPのプリンタを接続しており、アップデートを行ってPCを再起動したらそのような現象に。。。(◎-◎;)

（対処は、一度タスクマネージャで稼動中のタスク(名前忘れた。。。)を終了させ、HP ソリューション センター（HP ドキュメント ビューワーでも可かも）を起動。すると、CD-ROMを要求されてきたので、プリンタに付属されているCD-ROMを挿入し、msiファイルを指定してやれば問題は解消しました。。）

上の方法を読み、プリンターに付属していたCD-ROMを、恐る恐る挿入してみたところ、メッセージが出なくなりました。何日も悩んでいたのが嘘の様に、解決しました。＼（●＾▽＾●）／有り難う御座いました。m(_ _)m

> 500 応答するのはおかしいかも。

「415 Unsupported Media Type」あたりでしょうか。

HTTP/1.0では定義されていませんが、知らない4xx系のエラーコードは400とみなすことになっていたはずなので大丈夫です。たぶん。

>って、multioart/form-dataってナニ？

>Googleで検索しても英文ページが一件ひっかかるだけ。

　ぐはー。multipart/form-data ですね。この辺参考されたし。

http://www.w3.org/TR/1999/REC-html401-19991224/interact/forms.html#h-17.13.4.2

　HTTP/1.1 であっても HTTP/1.0 であっても、リクエストの Content-Type が multipart/form-data でない投稿は蹴ってしまいます。これはそういうふうにしているのですが、500 応答するのはおかしいかも。

って、multioart/form-dataってナニ？

Googleで検索しても英文ページが一件ひっかかるだけ。

HTTP1.0な自作ブラウザから投稿しようとしたらこんなのでました。

500 Internal Server Error

Type: System.Exception

Message: 認識できない投稿です。multioart/form-data でない POST リクエストは認識できません。

Source: hatomaru

TargetSite: System.Xml.XmlElement ArticlePost()

StackTrace:

場所 Bakera.HatomaruPageBase.ArticlePost()

場所 Bakera.HatomaruPageBase.Post()

場所 Bakera.HatomaruPageBase.Make()

場所 Bakera.Hatomaru.Post(String targetUrl)

場所 Bakera.Hatomaru.Page_Load(Object source, EventArgs e)

>今のところHTTP/1.0でもアクセス不可にはなっていないようですが。

　HTTP/1.0 でも OK な場合は OK なのですが、特定の場合にだめだったりします。ログを見たところ、

Yeti/0.01+(nhn/1noon,+yetibot@naver.com,+check+robots.txt+daily+and+follows+it)

　という名前の UA が残念な思いをしていたようです。

　……って、これ NAVER の新ロボみたいですね。期せずして NAVER 避けになってしまったようです。

> まあ HTTP/1.0 は捨てでも良いかなと……。

IE6でプロクシを経由した場合のデフォルトはHTTP/1.0なのに大胆ですね。

今のところHTTP/1.0でもアクセス不可にはなっていないようですが。

SmartyでPHPコードが実行できる部分にはまだあって、modifierのregex_replace でeオプションを指定した場合というのに最近気が付きました。

http://smarty.php.net/manual/en/language.modifier.regex.replace.php

$security_settings の説明通りだと、その部分は制御できないような気がしますが、どうなんでしょうね。