ruby-dev

遠藤です。

2010年6月16日9:45 U.Nakamura <usa@garbagecollect.jp>:
>> 担当者 Usaku NAKAMURAにセット
>
> え、なんで?
> 報告したら担当しないといけないの?

報告者だからではなく、windows のプラットフォームメンテナということで
担当者にさせてもらいました。メンテナがいないライブラリの、プラット
フォーム特有の問題はプラットフォームメンテナに見てもらうしかないかな
と思って。
見たくないということでしたら、WONTFIX と判断する権限はあると思います。


>> prevent_directory_traversal の問題を正確に理解していないのですが、
>> 問題がおきるのが Windows だけで、\\ の扱いだけの問題だとしたら、
>> File.expand_path を使わず gsub で処理するといいのではないでしょう
>> か。
>
> 残念ながら \\ の扱いだけの問題ではないので...
> 具体的には、短いファイル名形式を利用したアクセスや、NTFSデー
> タストリームの主ストリーム明示指定アクセスなどによるアクセス
> 制御回避を、File.expand_pathの正規化処理を利用して排除してい
> ます。
> File.expand_pathが行っている正規化処理と同等の処理を全部ここ
> に並べるのはさすがにちょっと。

File.expand_path は絶対パスに変換するメソッドであって、正規化に使う
のは筋違いではないかという気がします。
trailing_pathsep? の処理が必要なことが傍証？

筋がどうこう言ってても security issue はしょうがないのでしょうがない
のですが、じゃあこういうパッチはどうでしょうか。
windows では試していませんが。


diff --git a/lib/webrick/httpservlet/filehandler.rb
b/lib/webrick/httpservlet/filehandler.rb
index 32c1965..4887903 100644
--- a/lib/webrick/httpservlet/filehandler.rb
+++ b/lib/webrick/httpservlet/filehandler.rb
@@ -214,16 +214,18 @@ module WEBrick
         # character in URI notation. So the value of path_info should be
         # normalize before accessing to the filesystem.

+        path = req.path_info.dup.force_encoding(Encoding.find("filesystem"))
         if trailing_pathsep?(req.path_info)
           # File.expand_path removes the trailing path separator.
           # Adding a character is a workaround to save it.
           #  File.expand_path("/aaa/")        #=> "/aaa"
           #  File.expand_path("/aaa/" + "x")  #=> "/aaa/x"
-          expanded = File.expand_path(req.path_info + "x")
+          expanded = File.expand_path(path + "x")
           expanded.chop!  # remove trailing "x"
         else
-          expanded = File.expand_path(req.path_info)
+          expanded = File.expand_path(path)
         end
+        expanded.force_encoding(req.path_info.encoding)
         req.path_info = expanded
       end


-- 
Yusuke Endoh <mame@tsg.ne.jp>

Thread

Prev Next

In This Thread

Prev Next