「URLに含まれるとGoogle Chromeがクラッシュする文字列」記事へのコメント

なんで面白がられてるの

[Anonymous Coward]

IEがクラッシュした時は鬼の首でも取ったかのように大騒ぎするくせに

Re:なんで面白がられてるの

[Anonymous Coward]

それは私も思いました。
IEと比べてどうかという話は別としても、一般論としては、二重デコードはセキュリティ脆弱性に直結するところなので、笑いごとではないですよね。
今回の件は「URLの有効性チェックに失敗して」とあるところから、二重デコード後にURLの有効性チェックがあるために脆弱性にならないと判断されているようですが、
そもそも二重デコードが発生している時点で何かおかしいのでは。
リンク先を読んでも、なぜ二重デコードしてるのかよくわかりませんでした。

Re:

[Anonymous Coward]

これがsecurity issueでないというのもよくわからん。
完全に豪放なURLでクラッシュするんだから、URL文字列に自動リンクするようなタイプの掲示板に大量に投げることで、かなり効果的にDoS攻撃をかけられるだろう。
Googleはどういう基準で判断してるんだ？

Re:なんで面白がられてるの

[Anonymous Coward]

情報流出や非可逆な破壊に繋がらないからでしょ
クラッシュだけならブラウザを再起動すれば済むから、それに比べれば被害は小さい

何でもかんでも大袈裟に不安を叫べばいいと思ってる奴は
何が危険で何が危険でないのかわかってない

Re:

[Anonymous Coward]

いやいや、
セキュリティバグもクラッシュバグも本質的には変わらないから。
たとえば、オーバフローなんかで想定の領域外にアクセスしたときに、そのまま情報が読み書きできてしまうか、
変な値を拾ってクラッシュするか、程度の違いしかないわけで。

Re:

[Anonymous Coward]

> そのまま情報が読み書きできてしまうか、変な値を拾ってクラッシュするか、程度の違いしかないわけで。

それを「程度の違いしかない」で済ませるんだったらあらゆるものに本質的な違いはないね。

>> 何が危険で何が危険でないのかわかってない

まったくこの指摘のとおりだ

Re:

[Anonymous Coward]

だからさ、何が本当に危険なのかわかってない奴は議論に加わらなくていいからね
「本質的には変わらない」んじゃなくて、「君が知識不足で区別できていない」だけ。
君の認識不足に他人を巻き込まないでね

Re:

[Anonymous Coward]

別に直さないと言ってるわけでもないし、ただセキュリティリスクは低いから修正の優先度は低いよってだけですもんね。
それで口汚く罵ったりするのはどうかと思いますよねえ。ま、知ったかぶりだからこそ罵れるんでしょうけどね。

Re:

[Anonymous Coward]

自社利益じゃない？

なにかね、天下とると例外なくクズ企業になるのは企業組織として逃れられない運命なのかね
それともそういうクソ企業にならないと天下取れないのが社会の仕組みなのか

Re:

[Anonymous Coward]

資本主義の仕様だから独占は悪として法規制まであるんだよ。

Re:

[Anonymous Coward]

あなたの大好きなMicrosoftも単なるクラッシュバグはセキュリティ脆弱性扱いしませんよ。

Re:

[Anonymous Coward]

(#2886498)氏は別にMS製品のことには触れていないようですが…。

# 任意コード実行や情報流出の恐れのないクラッシュバグはセキュリティー上は比較的危険性の小さいバグだというのが、MSやセキュリティー対策会社を含めた業界の基本認識だという点は同意。

Re:

[Anonymous Coward]

URLは攻撃の口にしやすいところですし
二重デコード等が起こることをあらかじめ想定してもよさそうですが
googleもたいしたことないんですね

まあ、TBもソースコードがあるとテストする気にならないんですかね