RubyやRubyのOSSの脆弱性を見つけた話 - ooooooo_qの日記
この記事はRuby Advent Calendar 2018 - Qiitaの23日目です。 今年はRubyやOSSの脆弱性をいろいろ探していたので、その感想を。 Ruby (Cruby) Tmpでのディレクトリトラバーサル DirでのNUL文字の扱いの問題 UNIX ドメインソケットでのNUL文字 Ruby 2.6での挙動変更 Dir[]でのNUL文字について Rubygems rubygems 65534倍効率的なブルートフォース minitarでのKernel.open*2 geminabox Discourse Heroku Rails pgでのNUL文字 Active StorageでのXSS 報奨金 感想 Rubyに詳しくなった 脆弱性としての判定 自分が使うものを安全にする まずはRubyから Ruby (Cruby) techlife.cookpad.com 昨年公開された
RubyGems.org gem replacement vulnerability and mitigation - RubyGems Blog
Summary RubyGems.org contained a bug that could allow an attacker to replace some .gem files on our servers with a different file that they supplied. We deployed a partial fix on April 2nd and a complete fix on April 4th, 2016. We also verified every .gem uploaded after Feb 8th, 2015, and found that none of them had been replaced. Gems whose name contains a dash (e.g. ‘blank-blank’) uploaded befor
Rails4のMass Assignment脆弱性対策のStrong Parametersについて
Mac OSX10.8でrbenvを使ってRuby1.9とRails4.0をインストールするで ひょんなことから Rails4 をインストールしてしまった俺達は attr_accessibleやattr_protectedを使わずに Strong Parameters を使うことになってしまっていた！ ActionController::StrongParameters rails/strong_parameters 初めての Rails で右も左も分からない状況で いきなり Strong Parameters と言われてもよくわからないので以下についてまとめます。 Mass Assignment とは Mass Assignment 脆弱性 Rails4 以前の Mass Assignment 脆弱性対策 Rails4 の Mass Assignment 脆弱性対策の Strong Pa
RubyのSSLクライアントに脆弱性、中間者攻撃に悪用の恐れ
プログラミング言語RubyのSSLクライアントに中間者攻撃の脆弱性が見つかり、この問題を修正する更新版が6月27日にリリースされた。 Rubyのセキュリティ情報によると、脆弱性は、OpenSSLで特定のホスト名が適切に処理されない問題に起因する。 この問題を悪用された場合、リモートの攻撃者が認証局から有効な証明書を入手して、RubyのSSLクライアントとSSLサーバの間に割り込む中間者攻撃を仕掛けることが可能になるという。 脆弱性を修正した更新版は、Ruby 2.0.0-p247、1.9.3-p448、1.8.7-p374となる。ほかに複数のバグ修正などが盛り込まれ、1.8.7-p374ではサービス妨害（DoS）の脆弱性も併せて修正されている。
Some asshole tried to access my servers and run this (they couldn't)
Here is the code of kaiten-src.c, kind of botnet agent which was uploaded and run repetitively since the first crontab intrusion: //////////////////////////////////////////////////////////////////////////////// // EDIT THESE // //////////////////////////////////////////////////////////////////////////////// undef STARTUP // Start on startup? undef IDENT // Only enable this if you absolutely have t
CSRFの対応について、rails使いが知っておくべきこと - おもしろwebサービス開発日記
以前、CSRFについてのエントリを書きました。 CSRFについて - おもしろWEBサービス開発日記 上記エントリではCSRFの概念について書きましたが、もう少しつっこんで調べる必要が出てきました。調べたことを書いてゆきます。 基礎 application.rb(ないし適当なController)にprotect_from_forgeryメソッドを定義すれば、railsが自動的にCSRF対策をしてくれます。というか、デフォルトでapplication.rbに下記のように書いてあるので、特に何もせずともCSRF対策はバッチリなのです。 protect_from_forgery # :secret => '8ff3ed33f86a431662d8dfe255acdb4a' railsは、get以外の動詞のリンクに、authenticity_tokenというパラメータを自動的に付け加えます。ge
github の mass assignment 脆弱性が突かれた件
Github に脆弱性。やった人は Rails に有りがちな脆弱性を issue に挙げていたが相手にされず、実際にそれを突いてきた。一見 childish だが、それだけ簡単に脆弱な実装がなされてしまうということだ。週明けの今日、Rubyist はまず関連情報に一読を。 — Yuki Nishijima (@yuki24) March 4, 2012 気になって調べたのでメモ。自分も気をつけないとなー。 Public Key Security Vulnerability and Mitigation - github.com/blog/ github に脆弱性があってそれが突かれたらしい。 Rails アプリにありがちな脆弱性の一つ、Mass assignment とかいうタイプの脆弱性である。 mass assignment 脆弱性とは mass assignment 脆弱性とは何か、
任意のコードが実行される脆弱性について
Posted by Shugo Maeda on 20 Jun 2008 信頼できない入力がRubyプログラムの入力として与えられた場合に、DoS攻撃を受け たり、任意のコードが実行される脆弱性が発見されました。 影響 攻撃者に以下の脆弱性を利用されることにより、DoS攻撃を受けたり、任意のコード が実行される危険性があります。 CVE-2008-2662 CVE-2008-2663 CVE-2008-2725 CVE-2008-2726 CVE-2008-2664 脆弱性の存在するバージョン 1.8系 1.8.4以前の全てのバージョン 1.8.5-p230以前の全てのバージョン 1.8.6-p229以前の全てのバージョン 1.8.7-p21以前の全てのバージョン 1.9系 1.9.0-1以前の全てのバージョン 各バージョンでの対応方法 各バージョンでの対応方法を以下に記載します。 1.8
PHPがいかに駄目な言語か、という話。 - Matzにっき(2008-01-26)
<< 2008/01/ 1 1. 年賀状 2. ゴビウス 3. [Ruby] ZSFA -- Rails Is A Ghetto 2 1. 新年会 3 4 1. The Mythical 5% 5 6 7 8 1. [言語] Substroke Design Dump 2. [言語] A programming language cannot be better without being unintuitive 3. [OSS] McAfee throws some FUD at the GPL - The INQUIRER 9 1. [言語] Well, I'm Back: String Theory 2. [言語] StringRepresentations - The Larceny Project - Trac 10 1. [Ruby] マルチVMでRubyを並列化、サンと東大が
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Is it possible to ask for a password? · Issue #108 · rails/thor
Blog
#204 XSS Protection in Rails 3 - RailsCasts