自分がプロジェクトで使っているGemの脆弱性チェックしてる？ - Qiita
自分のプロジェクトでGem使ってますか？ 定期的に新しいバージョンがあるかチェックしたり、更新していますか？ その更新するかどうかの基準として脆弱性チェックしていますか？ Gemfileに登録しているgemを管理する(脆弱性があるかとか)のに使えそうな情報をまとめてみました。 新しいバージョンが来たら通知してくれる(RSS) GithubのRSS(https://github.com/) 例: rails https://github.com/rails/rails/releases.atom Githubで管理されているgemの場合はこっち rubygemorgのRSS(https://rubygems.org/) 例: rails https://rubygems.org/gems/rails/versions.atom rubygemに登録されている場合はこっち 新しいバージョンがあ
Rubyで安全な文字列リテラルかどうかを判別したい - かみぽわーる
Rails 5.2からRails SQL Injection ExamplesにあるようなSQLインジェクションを防ぐ仕組みが導入されて、Post.order(params[:order])みたいなコードは心温まる正規表現によるチェックをパスしないと危険とみなされるようになって、お前が安全やと思うんやったらPost.order(Arel.sql(params[:order]))しろってことになった(rails/rails#27947)。 これはRails 5.0のときにparamsがHashのサブクラスじゃなくなったときに比べればマシだけど、明らか安全やと思ってるリテラルもRailsに危険とみなされて既存のアプリケーションによったら非常にわずらわしい。たとえばDiscourseというRailsアプリは5.2に上げるときにこれの影響をモロに受けるんやけどっていうお気持ちを表明しています(ra
RubyGems.orgの脆弱性について - Money Forward Developers Blog
こんにちは、金子です。 普段はRailsを書いたりしています。 今回は2016/4/6に発表された、RubyGems.orgの脆弱性についてまとめました。 脆弱性について RubyGems.org gem replacement vulnerability and mitigation をざっと読んでみると、 特定の状況で、RubyGems.orgにupdateされているファイルの内容が不正に書き換えられる可能性があった 特定の状況とは、2014-6-11から2016-4-2までの間に登録されたgemのうち、'blank-blank'のように名前に'-' (dash)が入っているもの ただし2015-2-8以降に登録されたgemはRubyGems.orgがsha256 checksumを計算しており、それと実際のファイルの突合をして、書き換えられていないことを確認ずみ つまり、2014-6
RubyでMySQLに繋ぐためのruby-mysqlとmysql2 - たごもりすメモ
このエントリは MySQL Casual Advent Calendar 2011 - MySQL Casual の10日目の記事です。 こんばんは。tagomorisです。さとしです。タゴモリスの s はさとしの s です(実話)。Twitterで #さとし というハッシュタグが流れるたび、ひそかにびくっとしてます。 RubyからMySQLに繋ぐときにどうするの、ととりあえず gem search -r mysql とかやると思います。そして大量にあれこれ出てきてどうすればいいんだ！ という気分になると思います。そういう気分になったことがあるので、現状を簡単にまとめてみました。 ruby-mysql 昔からの定番ですね。作者は id:tmtms のとみたまさひろさん。rubygemsとか使われる前から Ruby/MySQL というライブラリ名で知られていました。Googleで検索するとト
Information Security Programming in Ruby
Information Security Programming in Ruby @nahi
YAML の URI エスケープ処理におけるヒープオーバーフローについて (CVE-2014-2525)
Posted by hone and zzak on 29 Mar 2014 Translated by makimoto Ruby の YAML データにおける URI エスケープ処理にオーバーフロー問題があります。 この脆弱性は CVE 識別番号 CVE-2014-2525 に割り当てられています。 詳細 タグ付き YAML の中で文字列がパースされる際に、特殊な文字列がヒープオーバーフローを引き起こし、任意のコードが実行される可能性があります。 例: YAML.load <code_from_unknown_source> 影響を受けるバージョン Ruby 1.9.3-p0 以上にはデフォルトの YAML パーサとして psych が含まれています。 0.1.5 以下のバージョンの libyaml にリンクされているすべてのバージョンの psych が影響を受けます。 また、以下の
Ruby 1.8.7 と 1.9.2 のセキュリティメンテナンスが延長されます
Posted by zzak on 17 Dec 2013 Translated by makimoto 2014年6月まで 1.8.7 と 1.9.2 に対するセキュリティパッチのサポートが行なわれることになりました。 Terence Lee (@hone02) と Zachary Scott (@_zzak) がメンテナとなります。 6ヶ月のメンテナンス期間のあと、さらに6ヶ月の延長のためにコミッタを割り当てる可能性があります。 このメンテナンスの延長が実現したのは Heroku によるものです。 詳細については次のブログ記事を参照ください。 A Patch in Time: Securing Ruby (英語) 問題報告の方法 延長されたメンテナンス期間は、1.8.7 と 1.9.2 のソースコードリポジトリに対し、 我々はセキュリティパッチ のみ を適用します。 我々はセキュリティ
Heap Overflow in Floating Point Parsing (CVE-2013-4164)
Posted by tenderlove on 22 Nov 2013 There is an overflow in floating point number parsing in Ruby. This vulnerability has been assigned the CVE identifier CVE-2013-4164. Details Any time a string is converted to a floating point value, a specially crafted string can cause a heap overflow. This can lead to a denial of service attack via segmentation faults and possibly arbitrary code execution. Any
橋本商会 » 信用出来ないRubyスクリプトを安全にevalしたかった
たぶん大丈夫だと思うんだけどヤバかったら教えて下さい。 （皆様からの温かいトマホーク(2)(3)によるとやっぱダメなようです） 要件 – ブラウザでRubyのコード書かせて、サーバーに保存してサーバーで実行したい – 危険な事はされたくない。ファイルへのアクセスやコマンドの実行、やたら時間のかかる処理など – 安全に実行できたらコードの返り値を取得したい。コードが危険だったらエラーを取得したい。 – 危険な事されても、コード実行しているプロセスは終了しないでエラーをブラウザに返したい。 – コードはWebサーバーと同じプロセスで実行したい 調査 ということで調べていたらsafelevelを使えばいいらしい – Programming Ruby: The Pragmatic Programmer's Guide – Rubyのセーフレベル4環境とその使い方 – ￢￢日常日記 $SAFEに0〜
GitHub - github/secure_headers: Manages application of security headers with many safe defaults
If you do not supply a default configuration, exceptions will be raised. If you would like to use a default configuration (which is fairly locked down), just call SecureHeaders::Configuration.default without any arguments or block. All nil values will fallback to their default values. SecureHeaders::OPT_OUT will disable the header entirely. Word of caution: The following is not a default configura
http://blog.monoweb.info/blog/2012/02/18/ruby-secure-web-app/
See related links to what you are looking for.
Blog - Code Climate
Navigating the world of software engineering or developer productivity insights can feel like trying to solve a complex puzzle, especially for large-scale organizations. It's one of those areas where having a cohesive strategy can make all the difference between success and frustration. Over the years, as I’ve worked with enterprise-level organizations, I’ve seen countless instances where a lack o
ゆうちょ銀行もスクレーパーかけたら、色々終わってた。 - それマグで！
パスワードの話はこっち→ゆうちょ銀行のパスワード紛失したので、再発行手続したら、コーヒー吹いた話。 ゆうちょ銀行のスクレーパー ゆうちょ銀行のタイムアウトがきついのと、「ホームへ」ボタンを押さないとセッションエラーになるので頭に来た。ブラウザ戻るボタン。押させろよ。 ちょっと本気スクレーパーを書いてやった。スクレーパーを書いて気づいた。ゆうちょ銀行のオンラインは色々終わってた。（後述） ゆうちょ銀行は ゆうちょ銀行にはログインのために以下の３つが必要になる。 ID 1234-5678-09876 合言葉 [質問,回答][質問,回答][質問,回答] パスワード リクエストの仕組み。ボタン押した時にFormにActionとhidden eventを入れてSubmitする。 これだけわかればあとは簡単。 サンプル require 'yucho_bank.rb' cli = YuchoBank.n
XSS Vulnerability in the escaping function in Ruby on Rails
Either email addresses are anonymous for this group or you need the view member email addresses permission to view the original message XSS Vulnerability in the escaping function in Ruby on RailsThere is a vulnerability in the escaping code used by Ruby on Rails, using specially crafted malformed unicode strings an attacker can bypass the escaping code. This vulnerability has been assigned the CVE
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Disable SSLv3 for the server connection by nahi · Pull Request #19 · treasure-data/td-client-ruby
JVNDB-2013-003779 - JVN iPedia - 脆弱性対策情報データベース
http://blog.monoweb.info/article/2012021823.html