据悉,“Linux 之父”林纳斯?托瓦兹(Linus Torvalds)近日在 Linux 内核邮件列表(LKML)上发表言论,怒斥文件系统开发者从未吸取教训。他指出问题的关键并非测试不足,而是一开始就不应该实现这种功能。林纳斯警告说,许多用户空间程序会检查文件名是否符合安全敏感模式,但文件系统可能无视不可打印字符,导致原本不应匹配的文件名被错误匹配。这种做法忽略了其他因素,并且让安全检查变得虚设。此外,他还提到 Unicode 字符由于忽略特定代码点而被视为相同,可能导致安全敏感的文件被误判。林纳斯愤怒地表示这样的设计使得用户程序难以防范风险, 而开发者却将其视为“特性”。


粤公网安备 44010602000162号
网友评论