脆弱性が見つかって、対応パッチが入ったgemの新しいバージョンがリリースされるということはよくあります。そういうときに僕は内容を把握して「こういう脆弱性があるので早くバージョン上げましょうね」と各お手伝い先に共有しています。
各お手伝い先にとどまらず、ブログに書いて広く周知したほうがいいのかな…と思いつつしないほうが良い理由もあり、現状では公開しない、を選択しているけどどうするのがいいんでしょうねえ…。
なぜ公開しないのか
- どれくらい危険な脆弱性なのかわかりやすくするために、具体的な攻撃方法を調査できる範囲でまとめ共有することが多い
- そのため、これを公開すると悪意を持っている人にとっての便利情報になってしまいそうだなあ…と感じる
- ので公開をしないという選択をしている
- しかし公開したほうが良い、という理由も思いつく
- 本当に悪意を持っている人は僕が公開するまでもなく攻撃情報を自ら得るはず
- 「これくらい危険な脆弱性なんですよ」というのを周知すると対策を取る企業は増えそう
- とはいえ基本的にはセキュリティアップデートをする企業はするし、しない企業はしないだろうと思うので公開するメリットをデメリットが上回りそうではある
- 悪意を持っていない人にだけいい感じに情報を届けられるのがベストなんだけど、だれかいい案ないですかね…
