「Month of Apple Bugs、まずQuickTimeの脆弱性を公表」記事へのコメント

脆弱性の危険度

[Anonymous Coward]

たまたまなのか良くあることなのかわからないけど、先日のMac OS X、ディスクイメージの取り扱いに脆弱性 [srad.jp]では、当初"Highly critical"とされたものが結局"Not critical"になっちゃったしhttp://secunia.com/advisories/23012/ [secunia.com]、どの程度真面目(?)にとらえとけばええのだろうか。
# それによって自分が何かアクション起こすとかいうことじゃないんだけどさ。

Re:脆弱性の危険度

[Anonymous Coward]

100問題があると発表されたうちの1つが問題なかったからといって
他の99も問題はないと判断する馬鹿はいないよね。

Appleはつい最近も致命的なQuickTimeのゼロデイ攻撃が行われている
脆弱性を長期間にわたって放置していた前科もあるので、Highlyから
Extremely critical になるのも時間の問題では？

というよりQuitckTimeなんて使っちゃいけないソフトのリストを
作ったら、トップクラスにあるよ。

Re:脆弱性の危険度

[Anonymous Coward]

> Appleはつい最近も致命的なQuickTimeのゼロデイ攻撃が行われている
> 脆弱性を長期間にわたって放置していた前科もあるので、Highlyから
> Extremely critical になるのも時間の問題では？

Critical かどうかを、放置されている時間によって決めるなんて「ありえない」と思う。

Re:脆弱性の危険度

[Anonymous Coward]

>Critical かどうかを、放置されている時間によって決めるなんて「ありえない」と思う。

時間ではなく、容易に攻略できるかどうか、実際に攻撃が行われているか
で危険度は上昇すると言っている。

Appleは、昨年の12月初旬にSNSのMySpace上で激しく行われた攻撃
（悪意のスクリプト埋め込み）に関して、警告無しでJavaScriptを
実行する仕様は「脆弱性」だという指摘に対し、「適切な機能」と
断言して脆弱性ではないと否定し、長期間放置したよね。

MySpaceからの強い要請にやっと重い腰をあげ、MySpace専用の修正
パッチをMySpace経由でリリースするなど、お世辞にも適切とは
いえない陳腐な対応でした。

「嘘」「ありえない」といういい加減なコメントで現実から
目をそむけるから、「マカーは…」って言われるんだよね。

Re:脆弱性の危険度

[Anonymous Coward]

> 時間ではなく、容易に攻略できるかどうか、実際に攻撃が行われているかで危険度は上昇すると言っている。

いや Critical なもんは攻撃が行われていようといまいと Critical なんであると思う。
というか、そもそも、もとの投稿者が「時間の問題」なんて言うのがいけない。