co3k.org

ブログエントリに含むべき内容の定義

今後効果されるセキュリティリリースでは、基本的に以下の内容が告知エントリに含まれるようになります。

• 「Security release」という文字列を含むタイトル
• 脆弱性の説明
• 影響を受けるバージョン
• 有効な exploit
• パッチ、アップグレード方法、回避方法の説明
• クレジット

『ソフトウエア製品開発者による脆弱性対策情報の公表マニュアル』の「3.1. 脆弱性対策情報の公表項目」にて好ましいとされている項目に近い内容が含まれることになりますね。

ともあれ、これがドキュメント化されたことで、先に示した問題点のほとんどが恒久的に解決することになるだろうと考えられます。本当によかったです。

Symfony ユーザのみなさんは、最低限、とりあえず「Security release」という文字列がタイトルに含まれるブログエントリだけは見逃さないようにしておけばよいということになります。たとえば RSS を適宜チェックしてセキュリティリリースがあればメール飛ばすようにするとかそんな感じですかねー。というかブログカテゴリで絞り込んだ RSS とかほしいですよねー。ねー。

手順の追加

pull request の Diff からわかるように、元々セキュリティ上の問題への対応手順は存在していました。今回の改善で、いくつか手順の追加や具体化がおこなわれることになり、

1. 報告者に報告を受領した旨通知
2. パッチの作成
3. Symfony の公式ブログ向けに、脆弱性に関するセキュリティ告知を作成
4. レビューのため、パッチとリリース告知を報告者に送信 (Zend Framework の Pádraic Brady 氏による提案により追加)
5. メンテナンスしているすべてのバージョンの Symfony にパッチを適用
6. 影響を受けるすべてのバージョン向けに新しいバージョンをパッケージング
7. 告知を Symfony の公式ブログにて公開 (これは "Security Advisories" カテゴリに追加されなければならない)
8. ドキュメント中の セキュリティアドバイザリ一覧 の更新. [5]

「6. 影響を受けるすべてのバージョン向けに新しいバージョンをパッケージング」が「未サポートバージョンも含むのか否か」について先述の ML のスレッドで確認していますがいまのところ返答がありません。ただ、「5. メンテナンスしているすべてのバージョンの Symfony にパッチを適用」としているので、たぶん含まれないのでしょう。ということではっきりとは明言されていないのですが、 http://symfony.com/doc/current/contributing/community/releases.html にて公表されているメンテナンス期間の終了と共にセキュリティ上の問題への対応も (例外扱いとはならずに) 終わると理解してよさそうです。過去のバージョンを使い続ける決断をする人は、この点をよく理解しておく必要があります。

セキュリティリリースは土曜日と日曜日には実施しない

この点も明記されることになりました。「どのタイムゾーンにおける『土曜日』と『日曜日』なのか」は書かれていませんが、まあフランスのタイムゾーンであるところの UTC+1 なんじゃないでしょうか。日本的には悪くない時間になると思うので個人的にはよいと思います。

ただし、既に脆弱性に関する情報が公開されている場合を除きます。この場合は本当に緊急事態なので、対応完了後即座にリリースされることになるでしょう。そのような機会が訪れないことを祈りたいですね。

Zend Framework

さすがというかなんというか、 Zend Framework は頑張ってますね。

• Advisories - Security - Zend Framework
• Security - Zend Framework

いくつかアドバイザリを眺めましたが、素晴らしい出来だと思います。なにも言うべきことはありませんが、強いて言うなら、 ZF2012-05: Potential Proxy Injection Vulnerabilities in Multiple Zend Framework 2 Components - Advisories - Security - Zend Framework の <title> が間違っている件を 12/20 に報告しているはず なので早く直していただけませんかね……、ということぐらいでしょうか。

CakePHP

CakePHP はリリース告知のタイトルに "Security Relase" が 含まれていたり いなかったり してるようです。 2.0.4 のほうの告知では、 脆弱性に対する修正以外の変更を含む にもかかわらず、脆弱性単体の修正パッチが示されていないようなので、あまり好ましい状態ではないように思います (が、 2.1.5 のリリースではパッチも明確に示されていますし、 2011/11 の話なので改善されている可能性があります)。セキュリティリリースの一覧等もありません。

ただ、ドキュメントには セキュリティ上の問題の報告手段や窓口 については明記されています。このあたり、 Symfony の改善前の状況と類似しているように見えます。

CakePHP といえば、以前 CakePHP の PHP コード実行の脆弱性を使って CakePHP を焦がす とかいうエントリを 2010 年に公開したことがありますが、そのなかで、

※通常リリースの告知のなかにこんな致命的な脆弱性に関する情報を思いっきりわかりにくく書いちゃうのはひどいなあと思うので、ユーザの方は CakePHP に文句を言うといいと思います。僕は CakePHP ユーザじゃないのでやめておきます。

—CakePHP の PHP コード実行の脆弱性を使って CakePHP を焦がす

とか書いてたりします。このエントリは僕の書き方とかに諸々問題があって [6] 、不本意な燃え上がり方や受け取られ方をしてしまったようで今でも若干の心残りがあります。伝えたかったこととしては「割と危険度の高い脆弱性だから影響を受ける人は対策してね！」ということの他に、

• 当時の日本の CakePHP ユーザが、 Twitter を確認した限りでは 、このリリースの重大性について認識していなかったように見えたことに対する批判
• 脆弱性の危険度が高いにもかかわらず、非常にわかりにくい告知エントリを公開した CakePHP のコアチームに対する批判

がありましたが、特に後者を充分に伝えることができていなかったように思います。

日本では CakePHP が非常によくに使われており、国内のコミュニティも活発であると認識しています。ですので、もし必要があるようでしたら、今回の Symfony における改善などを参考に、セキュリティリリースやハンドリングプロセスについての明文化や改善などがおこなわれるよう、働きかけていただけると非常に素敵だなーと思っています。

FuelPHP

FuelPHP » RC2.1 Security Release | Blog が今のところ唯一のセキュリティリリースのようです。 "This issue had to do with the URI not being properly sanitized, which caused a security issue in certain situations" とありますが、どのようなセキュリティ問題を生じさせることになるのかが具体的に書かれていません (まあ 1.0 リリース前の RC 期間での告知文だしということも思わないでもないですが)。

告知内でセキュリティ上の問題を報告するためのメールアドレスが若干婉曲した感じで示されていますが、 http://fuelphp.com/contribute や https://github.com/fuel/fuel/wiki/Contributing を読んだ感じでは特にセキュリティ上の問題の報告方法などは言及されていないようでした。

まだ若いフレームワークですし、おそらく今後自然と改善されることになると思いますが、実際にセキュリティ上の問題があがってくる前にこのあたり整備されているのが理想的であるとは言えるでしょう。日本の FuelPHP のコミュニティも非常に活発に見えるので、 CakePHP と同様、このエントリきっかけで働きかけがおこなわれたりするととてもとても素敵ですね。