EC-CUBE脆弱性 公開中止関連反響まとめ

後からこの件について知りたくなった方のために反響・関連発言をまとめました。 （発言をまとめただけで特に結論的なものはありません。）

[mi1kman]

開発元にはJVN公表後の発見者による詳細公開を拒む権利はない　参考→http://takagi-hiromitsu.jp/diary/20080122.html

[Barak]

相変わらずノーガード戦法が蔓延ってるのか。国際的には全く通用しないというのに。

[szks]

開発会社やSIベンダの反応や「修正コードを意図的にわかりにくくしている」なんて話を見ると、EC-CUBEのセキュリティには本質的な部分で問題があるのではという疑いを持たざるを得ない

[sisya]

「無料のwebパッケージを使っておいてアップデートを渋る」というクライアントのスタンスには、脆弱性があるたびにコストが掛かるという説明をしてこない製造側にも若干責任があるとは思う。

[Lat]

何年も前の脆弱性情報についてブログで公開するのを停止したところでEC-CUBEの脆弱性はそのままなのだけどそれは。。。／EC-CUBEだけの問題じゃないけどECサイトでうまくいかないのはこのような理由があるんじゃ？

[mkusunok]

ゼロデイではなかったのね。ならばPOCを公開しても問題なさそうだけど、外注で構築しっぱなしの脆弱性を放置したECサイトって多いんですかね？いつ情報を抜かれてもおかしくない気がするけど

[Dai_Kamijo]

EC-CUBEの記事の公開中止の件での関連発言・反響などをまとめてみました / EC-CUBE脆弱性 公開中止関連反響まとめ - Togetterまとめ — g_sato (@secmemoblog) August 28, 2016 from Twitter https://twitter.com/Dai_Kamijo August 30, 2016 at 09:24AM via IFTTT