0000438: proftpd Multiple Vulnerabilities(CVE-2006-6170, CVE-2006-6171) - Vine Linux バグトラッキングシステム

コメント
(0002270) iwamoto (管理者) 2006-12-14 17:38	security watch team にて対策パッケージのテスト中です。もう少々お待ちください。

(0002271) kazutaka (開発者) 2006-12-14 21:05	> security watch team にて > 対策パッケージのテスト中です。状態を割当済みに変更します。 # ちょっとしつこいかもしれませんが、もう一度だけです。以前 <BTS:VineLinux:394> でも書きましたが、 Security Watch Team への参加をもう一度考えていただけないでしょうか。「責任が重くなるのはちょっと…」というお話でしたら、できる範囲で協力していただければ十分ですし、最初から報告のみだと宣言していただいても問題ないと思います。また「(この)BTSでも、バグ(Security)報告は出来る」のは確かにその通りなのですが、Security Watch 用にも別の BTS が用意されていて、通常はこちらで対策等が管理されています。で、こちらの BTS に報告された場合、両方の BTS にリプライを付けたり、レポートを転記したりといった2重管理の手間が余計にかかってしまい、あまり効率的とは言えない状態になってしまっています。最初から Security Watch 用の BTS にレポートしてもらえれば、これらの手間が省けて Security Watch 担当の方達も助かりますし、すでに Security Watch Team が認識している問題であれば、こちらの BTS に投稿する手間も省けるようになります。元投稿者の方の手間や責任が増えるようなことはありませんし、Security Issue の対応が効率的に行えるようになりますので、是非再検討をお願いします。ハラダ

(0002272) anonymous (参照) 2006-12-14 22:02	> > security watch team にて > > 対策パッケージのテスト中です。 > > 状態を割当済みに変更します。 > > > # ちょっとしつこいかもしれませんが、もう一度だけです。 > > 以前 <BTS:VineLinux:394> でも書きましたが、 > Security Watch Team への参加をもう一度考えて > いただけないでしょうか。元投稿者です。再度、おさそいを受けたからではないのですが... このレポートがらみで、私の方でも(自主的に)少し再考モードに突入しました。(一時的になんですけど。) 理由は、今回の件で　exploitのコード(ツール)の情報を持っていたのですが、さすがに投稿は出来ませんでした。＃公開することによって、万が一、0-day攻撃を助長するのではないか＃と思ったからです。ただ、私の投稿情報は、既にどこかでopenになっている情報です。＃したがって、私の方では、最初から、2重管理状態みたいになることは＃少しは予測していました。(管理者泣かせですみません。) ＃弱そうな部分を推測しながら、１日１件を目標に投稿してきました。(最近は。) Vineの１ユーザとして知りたいことの１つとしてセキュリティバグの対応の目安です。平均値みたいなもの(すごく感覚的になりますけど。) ＃この問題だったら、Securityチームがリリースするパッケージを待とう。＃これは、ちょっとクリティカルだから(急ぐから)、独自の仮対応版を作ろうか。＃そういうことを判断する材料(情報)です。＃それは、問題解決後でも良いと思っています。＃(そういうものがあれば、次回、同様な場合にある程度のことは予測可能です。) そこらあたりの情報は、ほかのディストロだともっとあるような気がします。＃少なくとも、正確に何時updateが出るということがわからなくとも＃問題点に気ついている。(対応中)みたいな情報は欲しいと思います。＃(Security Watch Teamのメンバーになっていなくとも。)

(0002273) kazutaka (開発者) 2006-12-14 22:38	> Vineの１ユーザとして知りたいことの１つとしてセキュリティバグの対応の目安 > です。 > 平均値みたいなもの(すごく感覚的になりますけど。) > ＃この問題だったら、Securityチームがリリースするパッケージを待とう。 > ＃これは、ちょっとクリティカルだから(急ぐから)、独自の仮対応版を作ろう > か。 > ＃そういうことを判断する材料(情報)です。 > ＃それは、問題解決後でも良いと思っています。 > ＃(そういうものがあれば、次回、同様な場合にある程度のことは予測可能です。 > ) > > そこらあたりの情報は、ほかのディストロだともっとあるような気がします。 > ＃少なくとも、正確に何時updateが出るということがわからなくとも > ＃問題点に気ついている。(対応中)みたいな情報は欲しいと思います。 > ＃(Security Watch Teamのメンバーになっていなくとも。) そうすると一番気にされているのは、Vine Linux の Security 対応について、そのポリシーや判断基準、あるいはその運用方法が明確になってない(というかどこにも明記されていない)という点のようですね。 Security Watch Team 外の人でもこれらの情報が入手できる必要があるという意見は理解できますが、逆にそれらの情報を知りたいという声がほとんど聞こえてこないからこそ、これらの情報がオープンになっていないとも言えます。リプライを読むと Security に関する知識もかなりお持ちのようですし、Security 対応に関する運用も含めて Security Watch Team の ML 上で議論していただければ、と個人的には思います。が、決して無理強いするつもりはありませんし、運用方法についての議論も他の ML でもできますので、これ以上の勧誘(?)は自粛したいと思います。 #そもそも BTS でやり取りすべき内容では無いですし。長々と失礼しました。ハラダ

(0002274) ikeda (開発者) 2007-01-01 23:55	状態を完了に変更します。

課題の履歴
変更日	ユーザー名	項目	変更内容
2006-12-14 17:31	anonymous	新規課題
2006-12-14 17:38	iwamoto	コメント追加: 0002270
2006-12-14 21:05	kazutaka	担当者	=> security
2006-12-14 21:05	kazutaka	状態	新規 => 担当者決定
2006-12-14 21:05	kazutaka	コメント追加: 0002271
2006-12-14 22:02	anonymous	コメント追加: 0002272
2006-12-14 22:38	kazutaka	コメント追加: 0002273
2007-01-01 23:55	ikeda	状態	担当者決定 => 完了
2007-01-01 23:55	ikeda	コメント追加: 0002274

関連