RubyやRubyのOSSの脆弱性を見つけた話 - ooooooo_qの日記

この記事はRuby Advent Calendar 2018 - Qiitaの23日目です。 今年はRubyやOSSの脆弱性をいろいろ探していたので、その感想を。 Ruby (Cruby) Tmpでのディレクトリトラバーサル DirでのNUL文字の扱いの問題 UNIX ドメインソケットでのNUL文字 Ruby 2.6での挙動変更 Dir[]でのNUL文字について Rubygems rubygems 65534倍効率的なブルートフォース minitarでのKernel.open*2 geminabox Discourse Heroku Rails pgでのNUL文字 Active StorageでのXSS 報奨金 感想 Rubyに詳しくなった 脆弱性としての判定 自分が使うものを安全にする まずはRubyから Ruby (Cruby) techlife.cookpad.com 昨年公開された

[mrkn]

ありがとうございます。

[InoHiro]

すげえ...

[iga_k]

すごい！！

[koyancya]

すげええ

[k2wanko]

すごい

[daichirata]

報奨金で確定申告するの凄い。ハンター感がある。

[rrringress]

hackeroneというサイトおもしろそう

[Nkzn]

同僚のバグハンター業がすごい

[igrep]

NULL文字は結構やばいのねやっぱ

[ebo-c]

"クリティカルな脆弱性を見つけられないのはバグハンターとしては辛いものですが、利用者としては幸いです"