アカウント名:
パスワード:
まず、自ベンダーで無害に思えたlogoのスクリプトであっても、マクロ実行の一種では有るのだから「LibreLogoの実行もデフォルトではブロックしましょう。」と誰か突っ込む奴はいなかったんだろうか。しかも、イベントハンドラーが有効になっていたのがより悪い。コミット時にセキュリティ関連をレビューする人は居なかったのだろうか。
更に、LibreLogoといった「オマケ」機能を、デフォルト有効化するのは止めましょう。そいつは、ライバルのMSが過去にやった悪しき風習で、セキュリティホールの元だぞ。最低でも、拡張機能マネージャー等エンドユーザーが簡単に殺せるようにすべきで
そもそも、LibreLogoの実行でPythonの生スクリプトが動くのがいかんのだよね？
LibreLogoの言語仕様がいまいちわからんのだが、ドキュメント外に影響を及ぼすものでは無いのだろう。であればLibreOfficeの「マクロ」レベルのスクリプト制御は不要としてもいい。「Logoプログラムの実行」をクリックしないと実行できないのなら、想定外の起動の懸念要素はほぼ無いだろう。
しかし…そんなバグ入るかというか、直さ/せないもんなのかってのがどうもわからん。
LibreLogoがどれくらい古くからあるのか知らんけど、昔のファイルフォーマットはセキュリティ何それおいしいのみたいな感じで平然と任意の外部コマンド実行ができたりすることがあるので(Windows HelpとかPDFとか)「ドキュメント外に影響を及ぼすものでは無い」とかんたんに言い切れないのかもしれない
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
海軍に入るくらいなら海賊になった方がいい -- Steven Paul Jobs
セキュリティモデルが破綻してたんだから、当然。 (スコア:0)
まず、自ベンダーで無害に思えたlogoのスクリプトであっても、
マクロ実行の一種では有るのだから「LibreLogoの実行もデフォルトではブロックしましょう。」と誰か突っ込む奴はいなかったんだろうか。
しかも、イベントハンドラーが有効になっていたのがより悪い。
コミット時にセキュリティ関連をレビューする人は居なかったのだろうか。
更に、LibreLogoといった「オマケ」機能を、デフォルト有効化するのは止めましょう。
そいつは、ライバルのMSが過去にやった悪しき風習で、セキュリティホールの元だぞ。
最低でも、拡張機能マネージャー等エンドユーザーが簡単に殺せるようにすべきで
微妙だな (スコア:0)
そもそも、LibreLogoの実行でPythonの生スクリプトが動くのがいかんのだよね？
LibreLogoの言語仕様がいまいちわからんのだが、ドキュメント外に影響を及ぼすものでは無いのだろう。
であればLibreOfficeの「マクロ」レベルのスクリプト制御は不要としてもいい。
「Logoプログラムの実行」をクリックしないと実行できないのなら、想定外の起動の懸念要素はほぼ無いだろう。
しかし…そんなバグ入るかというか、直さ/せないもんなのかってのがどうもわからん。
Re:微妙だな (スコア:0)
LibreLogoがどれくらい古くからあるのか知らんけど、昔のファイルフォーマットはセキュリティ何それおいしいのみたいな感じで平然と任意の外部コマンド実行ができたりすることがあるので(Windows HelpとかPDFとか)「ドキュメント外に影響を及ぼすものでは無い」とかんたんに言い切れないのかもしれない