OpenSSHの脆弱性 CVE-2024-6387についてまとめてみた - piyolog
2024年7月1日、OpenSSHの開発チームは深刻な脆弱性 CVE-2024-6387 が確認されたとしてセキュリティ情報を発出し、脆弱性を修正したバージョンを公開しました。この脆弱性を発見したQualysによれば、既定設定で構成されたsshdが影響を受けるとされ、影響を受けるとみられるインターネット接続可能なホストが多数稼動している状況にあると報告しています。ここでは関連する情報をまとめます。 概要 深刻な脆弱性が確認されたのはOpenSSHサーバー（sshd）コンポーネント。脆弱性を悪用された場合、特権でリモートから認証なしの任意コード実行をされる恐れがある。 悪用にかかる報告などは公表時点でされていないが、glibcベースのLinuxにおいて攻撃が成功することが既に実証がされている。発見者のQualysはこの脆弱性の実証コードを公開しない方針としているが、インターネット上ではPoC
/usr は何の略か – ビットログ
Unix系OSのルートディレクトリ直下にある “/usr” はなんの略なのか。 巷の意見はおおよそこんな感じです。 「もちろん “USeR” の略でしょ。」 「あまいな。 “User Services and Routines” の略だ。」 「その “User S*R*” の略だっていうソースはあるの？」 どうもはっきりしません。そこで調べ始めたら、思いのほか深入りしてしまったので、今回調べたことを書いておきます。 0. Unixユーザグループの機関誌に載っていた説 Unixユーザグループの機関誌に “User Services and Routines” の略だと書いてあったという情報が散見しますが、ここではそれをソースとして認めません。その記事に「XXXのドキュメントに書いてある」とか、「IEEE NNN.N で決まっている」とか書いてあれば一件落着なのですが、原典を見つけることはでき
無料で学べる「セキュアソフトウェア開発」 Linux Foundationが提供開始
有償アップグレードで修了証の取得も可能 セキュアソフトウェア開発のトレーニングは、Open Source Security Foundation（OpenSSF）とLinux Foundation Training ＆ Certificationが開発したもので、「情報セキュリティを向上させるための実践的な手順に焦点を当てた」としている。攻撃に対抗できるような強化されたソフトウェアを開発するためのセキュリティや、脆弱（ぜいじゃく）性が悪用された場合に被害を軽減し、対応を迅速化する実践的な方法などを学習できる。 関連記事 MySQLを学べるアプリ開発者向け動画、PlanetScaleが無料公開 PlanetScaleは、アプリケーション開発者向けにMySQLを解説する動画を同社Webサイトで公開した。スキーマ、インデックス、クエリ、例題の4つの章に分けてMySQLを解説している。 無料で試用
Unixを開発したケン・トンプソン氏がMacからLinuxへ移行した事を発表 | ソフトアンテナ
Unix、Plan9、UTF-8、Goプログラミング言語の開発者として知られ、現在80歳となったケン・トンプソン氏が、最近使用するコンピューターをMacからLinuxへ移行した事を明らかにしました。 SCaLE 20xカンファレンスの閉会基調講演でケン・トンプソン氏は、自身が作成したジュークボックスに関して説明し、最後の質疑応答コーナーで行われた、「現在使用しているOSは何か」という質問に対し、次のように回答しています。 I have, for most of my life — because I was sort of born into it — run Apple. 私は人生の大半を、生まれつきそうだったから、Appleを使ってきました。 Now recently, meaning within the last five years, I've become more and m
Linuxカーネル学習の敷居を下げたいという思いを実現した本、「Linuxのしくみ」
以下イベントの発表資料です。 https://forkwell.connpass.com/event/273179/
CPU使用率は間違っている | Yakst
Netflixのパフォーマンスエンジニアである筆者からの、topコマンドなどで表示されるCPU使用率(%CPU)は、いまや本当の使用率を表しておらず、チューニングなどのための指標として使えないという指摘。なぜそうなってしまったのか、何を見れば本当のCPU使用率がわかるのかをわかりやすく解説した記事。 私たちみんながCPU使用率として使っている指標は非常に誤解を招くもので、この状況は毎年悪化しています。CPU使用率とは何でしょうか？プロセッサーがどのくらい忙しいか？違います。CPU使用率が表しているのはそれではありません。私が話しているのは、あちこちで、あらゆる人たちに、あらゆる監視製品で、あるいはtop(1)でも使われている、"%CPU"という指標のことです。 あなたの考えているであろうCPU使用率90% : 実際 : "stalled"(訳注 : 以下ストールと言う)とは、プロセッサーが
Linuxカーネル開発の第2言語にRustを採用する試み、議論の意義とこれから
Liam Tung （Special to ZDNET.com） 翻訳校正： 石橋啓一郎 2021-07-29 06:30 この30年間、Linuxの開発にはずっとC言語が使われてきたが、その状況が変わる可能性があるだろうか。 プログラミング言語の「Rust」をLinuxカーネル開発の第2言語にしようとする取り組みが一部で見られるようになっている。Googleは、開発者のMiguel Ojeda氏が中心となって進めている、Linuxカーネルのさまざまな要素の開発にRustを使用することを目指すプロジェクトを支援している。 Googleは、Rustを使えばセキュリティ上の脆弱性を引き起こすメモリーエラーを減らせるはずだと主張している（多くのIT企業やオープンソースプロジェクトがアップデートで修正しているセキュリティホールの多くは、メモリーエラーが原因になっている）。このプロジェクトの目標は、
Linuxサーバー構築標準教科書
新バージョン（Ver.4.0.0）公開！ Linuxサーバーの構築について基礎から実習形式で学習することができる教科書です 本教科書はLinuCレベル２の出題範囲に含まれるサーバー構築に必要な知識について、実習形式で学習を進めることができるテキストです。自分で構築したサーバーの環境で実際にWebアクセスをしたりメールの送受信をしたりすることで、サーバーの動作原理やプロトコルの仕組みを理解することができます。 Ver.4.0.0では仮想化技術／仮想マシンの解説や実践方法を追加するとともに、最新のLinuxディストリビューションAlmaLinux9.3に対応しました。また授業や研修だけでなく独学でも読み進められるよう、構成を見直しました。 本教科書はこれまでに10万回以上ダウンロードされ、「授業で使える実践的な教科書」として実績のある教材です。学校教育、社員教育、個人学習などに幅広くご利用くだ
Linuxの生みの親トーバルズ氏の最新自作マシンを徹底解剖--本人のコメント付きで構成を紹介
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 石橋啓一郎 2020-07-04 08:30 Linuxの生みの親であるLinus Torvalds氏は5月、Linuxカーネルメーリングリスト（LKML）で、次期バージョンである「Linux 5.7-rc7」の最近の開発状況について説明した。同氏はその中で、「15年ぶりに自分のデスクトップをIntelベースではないマシンにした」と述べている。最新の開発用マシンには、「AMD Threadripper 3970X」が搭載されているという。しかし、CPUがどれだけ高速でも、コンピューターの性能はそれだけでは決まらない。筆者は同氏にインタビューして、新マシンの詳しい構成を聞いてみることにした。 まず、同氏は既に新しいマシンのパフォーマンスに感動しているという。 「『allmodconf
メモリダンプの模様とはどのようなものなのか(入門編) - 覚書
はじめに 最近バズった以下の記事について、補足のようなものを書きたくなったので書きます。 note.com 上記の記事に対して「模様って何…？」のようなコメントが散見されましたので、カーネルのメモリダンプ解析経験が数年ある筆者が、わたしの理解できる範囲でメモリの模様とはどんなものかについて書きます。なお、模様とはあくまで感覚的なものなので、上記記事で扱われているかたの定義とわたしの定義は違うかもしれませんのであしからず。また、LinuxカーネルやCPUについてのある程度の知識が必要な表現や用語が出てきますが、本記事ではそれらについての説明は割愛します。 メモリのさまざまな模様 メモリの模様とは(少なくとも私にとっては)16進バイナリの文字列の特定パターンです。ここでいうパターンとは正規表現マッチングできるようなパターンのことを指します。その中の代表的なパターンを見てみましょう。 ポインタ
Linux Foundation、使用頻度の高いオープンソースソフトウェアのセキュリティに関する調査結果を発表 | OSDN Magazine
非営利団体Linux Foundation傘下のCore Infrastructure Initiative（CII）は2月18日（米国時間）、運用環境のアプリケーションで使われているフリー/オープンソース（FOSS）コンポーネントのセキュリティに関するレポートを発表した。 Core Infrastructure Initiative（CII）は、2014年春に発見されたOpenSSLの脆弱性（「Heartbleed」）問題を受けてLinux Foundationが立ち上げたプロジェクト。重要なインフラ開発への支援を最大の目的としており、米Amazon Web Services（AWS）、米Cisco Systems、富士通、米Google、米IBM、米Microsoftなどが立ち上げ時のメンバーとなっている。 今回ハーバード大のLaboratory for Innovation Scie
攻撃グループBlackTech が使用するLinux用マルウエア (ELF_TSCookie) - JPCERT/CC Eyes
以前のJPCERT/CC Eyesで攻撃グループBlackTechが使用するマルウエアTSCookieやPLEAD、IconDownについて説明しましたが、この攻撃グループは他にもいくつかのマルウエアを使用することが分かっています。これまで紹介したマルウエアはWindows OSに感染するものでしたが、JPCERT/CCの調査では、Linux OSに感染するTSCookieやPLEADの亜種が存在することを確認しています。 今回は、攻撃グループBlackTech が使用するLinux 版TSCookieについて紹介します。 TSCookie のWindows版とLinux版の違い Linux 版TSCookieはWindows版と同じコードを多く使用しているため、機能のほとんどが同一です。図1はTSCookie のWindows版とLinux版のコードの一部を比較した結果です。 図 1：T
ls よりも exa を使おう！モダンな Linux コマンド達を紹介 - Qiita
上記の画像を見ると分かる通り、カラフルで見やすいですね。右図のようにディレクトリのツリー表示にも対応しています。さらに --icons オプションを付けると、ファイルタイプに応じたアイコン表示も可能です。 bat 続いて cat コマンドの代替である bat の紹介です。 ファイルの拡張子に応じてソースコードを色付けして表示してくれます。また less のようなページャの機能も持っており、行数の長いファイルを渡すと自動でページャモードで開いてくれます。 hexyl hexyl はバイナリダンプコマンド od の代替コマンドです。bat の開発者と同じ方が開発しています。
第42回 Linuxカーネルのケーパビリティ［1］ | gihyo.jp
前回からだいぶ間隔が空いてしまいました。前回の最後に案内したudzuraさんのCRIUに関する記事はもう少し時間がかかるようですので、もうしばらく私が担当したいと思います。 今回から数回は、Linuxカーネルに実装されているケーパビリティについて説明します。ケーパビリティは2.2カーネルのころから実装されてきているかなり古くからある機能で、コンテナ向けの機能ではなく一般的に使われている機能です。もちろん、コンテナの安全性を高めるための重要な機能でもあります。 setuid 一般的にはUNIX系のOSでは、プロセスはroot権限（実効ユーザIDが0）で実行される特権プロセスと、一般ユーザ権限で実行される（実効ユーザIDが0以外の）非特権プロセスに分けられます。 一般ユーザは、通常はそのユーザの権限でプログラムを実行すれば良いのですが、一般ユーザが実行するプログラムであっても処理の内容によって
Intel NUC で自宅 Ubuntu 開発環境構築と SSH Port Forwarding によるアクセス | blog.jxck.io
Intro 家では Mac を使っていたが、やはり Ubuntu 開発環境を作ることにした。 前々から気になっていた Intel NUC をベースに Ubuntu 環境を構築。 また、外出時もアクセスできるように SSH Port Forwarding を使って、固定 IP の無い家に外からアクセスできるようにした。 備忘録を兼ねて記す。 自宅開発環境 自宅では長らく Mac を使ってきたが、やはり Linux 環境があったほうが良いということで、数年ぶりにラップトップ以外の PC の購入を検討した。 自宅サーバとして使えれば、宅内オートメーションや、さまざまな用途にも流用できて、遊ぶ上でも良いだろう。 今は mini PC も色々出ており、選択肢も多く、比較的安価に、場所をとらないサーバが組めるようになった。 これを期に、高い Mac の買い替え更新をやめ、 Air などの持ち運び用途に
［速報］Windows上でフル互換のLinuxシステムコールを実現する「WSL 2」発表、Dockerも実行可能に。Microsoft Build 2019
マイクロソフトはWindows上でLinux互換機能を提供するWindows Subsystem for Linux（WSL）の次期版となる「WSL 2」を発表しました。 WSL 2には、最初からWSL 2に最適化されたLinuxカーネルが含まれており、フル互換のLinuxシステムコールを実現。またファイルシステム性能は最大20倍もの劇的な向上も実現しているとのことです。 これによりWSL 2上ではDockerも実行可能だとされています。「Announcing WSL 2」から引用します。 Now that WSL 2 includes its own Linux kernel it has full system call compatibility. This introduces a whole new set of apps that you can run inside of W
Linuxの「systemd」に新たなセキュリティホール
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 編集部 2019-01-11 11:36 「systemd」は、ほとんどのLinuxディストリビューションでデフォルトのシステム／サービス管理デーモンとして採用されている。このため、Qualysが最近systemd内で発見した3件の批判の多いこのデーモンの悪評をさらに高めるものとなっている。 これらの脆弱性はいずれも、ローカルユーザーがルート権限を取得するために悪用できる。Qualysは、「われわれが知る限り、これはsystemdを採用しているすべてのLinuxディストリビューションに脅威をもたらす」と述べている。 とは言うものの、Qualys自身も認めているように、すべてのLinuxディストリビューションに影響が及ぶわけではない。同社は「『SUSE Linux Enterpris
Gitの10年間: Gitの生みの親 Linus Torvalds のインタビュー
10 年前の今週、Linux カーネル コミュニティは困難な問題に直面しました。すなわち、バージョン管理システム BitKeeper を使うことができなくなり、他のソフトウェア構成管理 (SCM) システムも分散システムのニーズを満たすことができませんでした。Linux の生みの親 Linus Torvalds は自らこの困難に立ち向かい、週末をはさむ 10 日間くらいの間雲隠れし、翌週には Git を持って登場しました。今日、Git は何千というプロジェクトで利用されており、プログラマーの間に新しいレベルのソーシャル コーディング形態をもたらしました。 この記念すべきマイルストーンを祝うために私たちは Linus に Git の舞台裏やこのプロジェクトに対する彼の考え、またこのプロジェクトがソフトウェア開発に与えた影響について話してもらいました。本記事は彼のコメントです。この質疑応答に続
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
自由研究には向かないウェブオペレーション 
14 Best Practices to Secure SSH Bastion Host
