	FML Advisory 2001-001: Internal HTMLifier can pass through invalid URL
	========================================

Topic:	HTML 化機構が悪意ある URL を通過させ得る

			Ken'ichi Fukamachi <fukachan@fml.org>

	Copyright (C) 2001 Ken'ichi Fukamachi
		All rights reserved.

[Abstract]

fml 内蔵の HTML 化機構を利用している場合に、不正な URL がて HTML 化さ
れたファイルに現れえます。これは $AUTO_HTML_GEN を ON にしてＭＬを運用
している場合と、spool2html.pl を利用して HTML 化を実行する場合にありえ
ます。

------------------------------------------------------------
1	Technical detail

2	修正の仕方 (暫定案)
2.1	set $AUTO_HTML_GEN = 0; anyway
2.2	入れ替える(1)
2.3	入れ替える(2)

3	その他
3.1	将来計画

4	Acknowledgement
------------------------------------------------------------


1	Technical detail

fml 内蔵の HTML 化機構において、Subject: に含まれる <> がインデックス
ページではエスケープされない。

2	修正の仕方 (暫定案)

2.1	set $AUTO_HTML_GEN = 0; anyway

自動的に記事の HTML 化をしている場合、まずは一旦 $AUTO_HTML_GEN = 0; 
にしてください。これで自動 HTML 化機構が動作しなくなります。

	$AUTO_HTML_GEN = 0;

メニューでは

	TOP -> OPTION -> HTML_GENERATION -> AUTO_HTML_GEN -> n

です。

なお自動処理を再開しても再開するまでの分はHTML 化が止まったままです。
HTML 化しそこなった分については、新しいライブラリに入れ替えた後(次の 
2) 案)、make spool2html を実行することで続きの記事の再生成が可能です。

2.2	入れ替える(1)

libsynchtml.pl libhtmlsubr.pl を最新のものにする

	ftp://ftp.fml.org/pub/fml/workaround-fix2/

2.3	入れ替える(2)

じきに出る 4.0.3 release (現在 4.0.3_BETA)

3	その他

3.1	将来計画

今週末(2001/10/27)に言おうと思って bug 取りしていたのですが ;) 、
SyncHtml を捨てて別のモジュールに移行する案を考えています。

このモジュールは先週末(2001/10/20)から fml-devel (fml 5.0 branch) の中
に存在しています。が、まだ試行錯誤(?)に開発中というところでしょう。

	http://www.fml.org/software/fml-devel/CHANGES.txt

4	Acknowledgement

Problem Report は 

fml-help: 01093 (From: KOJIMA Hajime / 小島肇 <kjm@rins.ryukoku.ac.jp>)

を参照してください。problem report およびパッチ案を頂いた小島さんに感
謝致します。

$FML: FA2001_001.wix,v 1.4.2.1 2001/11/18 14:34:51 fukachan Exp $
