危険なCookieのキャッシュとRailsの脆弱性CVE-2024-26144 | セキュリティブログ | 脆弱性診断（セキュリティ診断）のGMOサイバーセキュリティ byイエラエ
高度診断部アプリケーションセキュリティ課の山崎です。 弊社エンジニアの名古屋と山崎がRuby on RailsのActive Storageの脆弱性CVE-2024-26144を報告しました。 本脆弱性はRailsの5.2.0から7.1.0のバージョンに影響するもので、お使いのRailsのバージョンが最新でない場合にはアップデートを推奨します。 本記事では本脆弱性の注意点と、関連してCookieのキャッシュに関する調査内容を紹介します。 TL;DR ・ Set-Cookieヘッダがキャッシュされると別人ログイン問題が発生する ・ RailsのActive StorageでSet-Cookieヘッダがキャッシュ可能な設定であった(CVE-2024-26144) ・ Nginx(+ Passenger), Apache(+ mod_cache)等のキャッシュ機構と合わせて利用すると実際に事故が
RubyGemsの運営元が「Ruby Shield」を発表。RubyとRailsへのサプライチェーン攻撃への対策としてShopifyが4年で100万ドル（約1億3000万円）を提供
RubyGemsの運営元が「Ruby Shield」を発表。RubyとRailsへのサプライチェーン攻撃への対策としてShopifyが4年で100万ドル（約1億3000万円）を提供 Ruby言語用のパッケージであるGemのホスティングサービス「RubyGems.org」を運営するRuby Centralは、RubyやRailsに対するサプライチェーン攻撃への対応を行うプロジェクト「Ruby Shield」を開始すると発表しました。 Today we’re excited to announce Ruby Shield This new initiative in partnership with @ShopifyEng will support open-source and enable us to take on new security-focused projects to bet
0→1のWeb開発においてRDBMSを使った方がその先につながりやすく、Railsが復権したのがSaaS時代のトレンド - algonote
プロダクトの変遷でアーキテクチャーがどう変わったか 前口上 Web開発においてとりうるアーキテクチャーにはいくつかパターンがあります。 サーバー構成をモノリスかマイクロサービスかで分ける場合もありますし、データベースを内製で持つか外部のmBaaSに任せるかで変わる場合もあるでしょう。認証部分をOAuthに切り出したり、全文検索部分だけ外部サービスを使うこともありますね。 とある時は新しい技術Aを使うことがいけてるという時があれば、少し経つとその技術が終わったことにされる場合もあります。 こういった技術のトレンドにはその時にビジネスチャンスが広がったプロダクトのトレンドに影響されていることも多く、サーバー・クライアント比率の観点で見るとうまく整理できることに気づいたのでまとめてみます。 System of RecordとSystem of Engagement のっけから人様の資料で恐縮です
食べチョク開発チームがセブンルール(テレビ放送)に向けて行った負荷対策 - 食べチョク開発者ブログ
皆さんこんにちは、エンジニアの西尾です。 2019年9月24日(火)、フジテレビ系列のテレビ番組 「セブンルール」 にて弊社代表およびサービスを取り上げていただきました。 テレビ放送開始直後、サイトにはいままでにないアクセスが押し寄せましたが、 システムを落とすことなく、かつパフォーマンスも落とすことなく無事に稼働させることができました。 今回はテレビ放送前に、食べチョク開発チームが行ったパフォーマンス対策を紹介いたします。 開発チームのミッション 放送日が決まった時、代表が一言、Slackにつぶやきました。 サーバーを落とさない 放送中にサーバーは絶対落とさない。 この日から少しずつパフォーマンス対策を始めることにしました。 食べチョクのシステム構成 食べチョクはAWS上で運用しており、構成はとてもオーソドックスなものとなっています。 EC2,ELB,RDS,ElasticCache(R
Railsを学習する駆け出しエンジニアのレベルの低さの原因と対策 - INODEVLOG
タイトルがやや煽り気味ですが、Rails案件での開発やプログラミング講師を経験してきた自分として思うこともあり、Twitterでよく見かける「駆け出しエンジニアの方」や「プログラミングスクールでRuby on Railsを勉強している方」たち向けのヒントをまとめてみました。 今後のキャリアや学習方法を考える上で、何かしら参考になれば幸いです。 初学者がRailsを学ぶことが批判されやすい理由 そもそも駆け出しエンジニアがRailsを学ぶ理由 Ruby on Railsを学習する駆け出しエンジニアのレベルが低いと見られる理由 本当に使えるようになるまでは、実は学習コストが高い 自分で正解を導いていく文化がない場合がある Railsで学習を進めるメリット RailsWayに乗っかれると開発者としての役割を持ってもらいやすい 比較的様々な情報にアクセスしやすい Rails学習でやるべきスキルアッ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
