高木浩光＠自宅の日記 - サイボウズ「闇改修」の件のその後, テスト用エントリ

■ サイボウズ「闇改修」の件のその後 一昨日の日記の件*1について、出勤前の午前中にサイボウズのお客さま対応窓口から電話があった。 電話の要件は訂正があるとのことで、以下の3点を訂正するとのことだった。（以下は私による要約。） ディレクトリトラバーサルの脆弱性については、ログインしていない者によっても攻撃され得る。告知文を訂正する。 ユーザの一覧を取得できてしまう問題について、脆弱性としなかったのは、重要度が低いと評価していたという誤った認識によるものだった。告知文を訂正する。 去年のクロスサイトスクリプティング脆弱性対応について、対策として追加された警告表示機能がデフォルトでオフとなっている理由は、既存バージョンとの互換性を考えたものであり、それはユーザが混乱するのではないかと考えたためで、そのような認識は誤りだった。今後、デフォルトでオンとするように検討する。 そしてさきほど告知ページ

[lowpowerschottky]

“同じような方針はずっと以前からおおやけにされていた”

[I11]

「セキュリティポリシーではなく窓口がそう思っていただけ。経営者の本心は違うよーん」って説明は苦しいな。なにかあるたびにトカゲのシッポ斬りを続けるようでは・・・・。

[rhosoi]

関係ないけど、青野さんてペンネームなんだよね。かなり長い間知らなかった。騙されてた！オレ、騙されてた

[whirl]

続報