• はてなブックマーク
  • 暮らし
  • PHP5.3.7のcrypt関数のバグはこうして生まれた
  • Twitterでシェア
  • Facebookでシェア

PHP5.3.7のcrypt関数のバグはこうして生まれた

暮らし カテゴリーの変更を依頼 記事元:blog.tokumaru.org
適切な情報に変更
365 usersがブックマーク コメント88

    記事へのコメント88件

    • 注目コメント
    • 新着コメント
    ockeghem
    ockeghem 日記書いた

    2011/08/24 リンク

    その他
    hide_o_55
    hide_o_55 セキュリティ向上のために実施した静的解析が裏目に出たわけか。あの手のツールの警告は「問題無いとわかっていても残ってると気持ち悪い」と感じる人がいるし

    2011/08/24 リンク

    その他
    torin
    torin なんというあるあるバグ。やらかし記憶が次々と…

    2011/08/24 リンク

    その他
    quaoar
    quaoar memcpy()→strlcpy()→strcat()→ポインタ進めながら書き込み って何だこの一貫性の無さは。文字列終端を自前で管理するならそもそもstrcat()なんか使う必要ない。

    2011/08/25 リンク

    その他
    k-holy
    k-holy リリース直前の変更も、テストになってないテストコードも経験済な身としては「ないわー」とは言えない

    2011/08/24 リンク

    その他
    rryu
    rryu そもそもmem系とstr系の関数を混ぜて使わなければ、mem系のみ＝起こらない、str系のみ＝区切りの$が無くなるだけで、こんなインパクトの強い結果にはならなかったのに。

    2011/08/24 リンク

    その他
    mas-higa
    mas-higa こんなの PASS して当然だろ! と思って UnitTest 用意してないと痛い目にあうという例。/ と思ったら違ったみたい。普段から全て PASS しない前提だったらしい。そりゃ見落とすわ。

    2011/08/25 リンク

    その他
    tsucchi1022
    tsucchi1022 ひどいバグではあるけど、こうしてみるとやってしまいそうな「わりと普通な修正」ではあるな。テストが大事ですね。

    2011/08/24 リンク

    その他
    terurou
    terurou 「プロジェクトマネジメント上の問題としては、テスト不足というのは明らかですが、その前段階の問題として、RC5というリリース直前の状態で不急の修正をしたことが大きな要因だと考えます。」

    2011/08/24 リンク

    その他
    teppeis
    teppeis エンバグの可能性はゼロにはできないけど、「テストがFAILしていたのに気づかなかった」という部分は改善できそうだと思った。普段からFAILゼロにしてないと気づけないよね。自戒。

    2011/08/24 リンク

    その他
    vivit_jc
    vivit_jc 戒め

    2014/02/24 リンク

    その他
    a-kuma3
    a-kuma3 make test がクリアになってない状況で、滑り込みの修正は駄目だよね。たとえ、単純な修正に見えても。【自戒】

    2012/02/14 リンク

    その他
    sidestepism
    sidestepism ふむ

    2011/09/27 リンク

    その他
    kabiy
    kabiy 徳丸浩の日記: PHP5.3.7のcrypt関数のバグはこうして生まれた

    2011/09/03 リンク

    その他
    rna
    rna 静的解析ツールの警告に従って(本当は必要ないけど)コードを安全にしたつもりが引数の意味を勘違いして危険なバグを作ってしまった、単体テストはfailしてたのに気付かず(?)そのままリリースしてしまった、という話。

    2011/08/30 リンク

    その他
    tarchan
    tarchan ＞「長い行を黙って切り詰める」関数

    2011/08/29 リンク

    その他
    s-tomo
    s-tomo 「passwdはstatic配列なので初期値は全て0('\0')」って二回目に呼ばれたときに違う動作になりそうな。というかC言語のcrypt()関数のラッパーじゃなかったのか.......。

    2011/08/29 リンク

    その他
    ebo-c
    ebo-c リファクタリングでエンバグ

    2011/08/28 リンク

    その他
    nilab
    nilab 理想と現実。「テスト不足というのは明らかですが、その前段階の問題として、RC5というリリース直前の状態で不急の修正をしたことが大きな要因」徳丸浩の日記: PHP5.3.7のcrypt関数のバグはこうして生まれた

    2011/08/26 リンク

    その他
    mumincacao
    mumincacao 静的解析つーるの警告避けようとして迂回の迂回したら単体てすとで引っかかるとか・・・てすとこーども描くだけじゃだめだめっていい例になっちゃってるにう．．．〆（．．＿；【みかん

    2011/08/25 リンク

    その他
    mas-higa
    mas-higa こんなの PASS して当然だろ! と思って UnitTest 用意してないと痛い目にあうという例。/ と思ったら違ったみたい。普段から全て PASS しない前提だったらしい。そりゃ見落とすわ。

    2011/08/25 リンク

    その他
    uunfo
    uunfo テストを通らないのに公開されてしまったのか…。

    2011/08/25 リンク

    その他
    MagnesiumRibbon
    MagnesiumRibbon 狼少年テスト

    2011/08/25 リンク

    その他
    youhey
    youhey わかりやすい。小さな規模で似たようなケースが身近にゴロゴロ

    2011/08/25 リンク

    その他
    coolstyle
    coolstyle とても丁寧な解説でわかりやすい。うっかりミスだけど、誰でもしそうなミスではある。

    2011/08/25 リンク

    その他
    quaoar
    quaoar memcpy()→strlcpy()→strcat()→ポインタ進めながら書き込み って何だこの一貫性の無さは。文字列終端を自前で管理するならそもそもstrcat()なんか使う必要ない。

    2011/08/25 リンク

    その他
    tamtam3
    tamtam3 より安全な筈の関数strlcatに代替したつもりが、パラメーターの意味が異なったがゆえに、酷い目にあったでござるの巻

    2011/08/25 リンク

    その他
    hiragisan
    hiragisan なるほど。「strncatとstrlcatでは、第3パラメータの意味が異なります」

    2011/08/25 リンク

    その他
    Kmusiclife
     Kmusiclife  笑えない。まじ笑えない。phpはかなり生活の中まで入り込んでる事がこれでわかった。  

    2011/08/25 リンク

    その他
    zorio
    zorio まさに他山の石

    2011/08/25 リンク

    その他
    kitaj
    kitaj 分かりやすい解説

    2011/08/25 リンク

    その他
    Untouchable
    Untouchable 静的解析ツールの報告するエラーを、「潰せばいい」という気持ちで取り組んでしまっていたのだろうか。自分もこういうミスをやりそうで怖い

    2011/08/24 リンク

    その他
    teppeis
    teppeis エンバグの可能性はゼロにはできないけど、「テストがFAILしていたのに気づかなかった」という部分は改善できそうだと思った。普段からFAILゼロにしてないと気づけないよね。自戒。

    2011/08/24 リンク

    その他
    cubed-l
    cubed-l こうしてまとめてくださる方がいるとソース読むのをサボってしまうな…自省しよう

    2011/08/24 リンク

    その他
    quwachy
    quwachy テストに通らなくてもコミットできる管理体制に驚愕した

    2011/08/24 リンク

    その他
    tgs
    tgs だせぇｗ……と笑えるハナシじゃねーわ

    2011/08/24 リンク

    その他
    tsupo
    tsupo strlcat というのは strncat_s の類似品だよなぁ……

    2011/08/24 リンク

    その他
    vid
    vid あはははははははは、笑えねえよ！！　自分もやってしまいそうで怖い（－－；；

    2011/08/24 リンク

    その他
    todesking
    todesking テスト落ちてたのにリリースされてしまったのか

    2011/08/24 リンク

    その他
    mohno
    mohno 「strncatとstrlcatでは、第3パラメータの意味が異なります」「GNU Cライブラリ (glibc) の開発者たちは、GNU Coding Standardsで禁じられている「長い行を黙って切り詰める」関数である…否定的な見解を示しており」

    2011/08/24 リンク

    その他

    注目コメント算出アルゴリズムの一部にLINEヤフー株式会社の「建設的コメント順位付けモデルAPI」を使用しています

    アプリのスクリーンショット
    いまの話題をアプリでチェック！
    • バナー広告なし
    • ミュート機能あり
    • ダークモード搭載
    アプリをダウンロード

    関連記事

    PHP5.3.7のcrypt関数のバグはこうして生まれた


     昨日のブログエントリ﹁PHP5.3.7のcrypt関数に致命的な脆弱性(Bug #55439)﹂にて、crypt関数の重大な脆...    

    ブックマークしたユーザー

    • Tiantian2019/12/05 Tiantian
    • daitom2016/02/12 daitom
    • n3142015/12/18 n314
    • takc9232015/03/17 takc923
    • DNPP2014/02/25 DNPP
    • Mint0A0yama2014/02/24 Mint0A0yama
    • vivit_jc2014/02/24 vivit_jc
    • screwbound2014/02/24 screwbound
    • mazuizm2014/02/24 mazuizm
    • pycol2014/02/24 pycol
    • langu2014/02/24 langu
    • kjw_junichi2014/02/24 kjw_junichi
    • sankaseki2012/10/15 sankaseki
    • WhatAmILookingFor2012/06/03 WhatAmILookingFor
    • quodius2012/03/01 quodius
    • a-kuma32012/02/14 a-kuma3
    • invent2011/11/18 invent
    • lEDfm4UE2011/10/29 lEDfm4UE
    すべてのユーザーの
    詳細を表示します

    同じサイトの新着

    同じサイトの新着をもっと読む

    いま人気の記事

    いま人気の記事をもっと読む

    いま人気の記事 - 暮らし

    いま人気の記事 - 暮らしをもっと読む

    新着記事 - 暮らし

    新着記事 - 暮らしをもっと読む

    同時期にブックマークされた記事

    はてなブックマーク

    公式Twitter

    はてなのサービス

    • App Storeからダウンロード
    • Google Playで手に入れよう
    Copyright © 2005-2024 Hatena. All Rights Reserved.