Linuxカーネルの脆弱性「Copy Fail (CVE-2026-31431)」をEC2のUbuntu 22.04で実証してみた
こんにちは！株式会社エーアイセキュリティラボのはるぷと申します。 一般ユーザーがコマンド一発でrootを取れてしまうLinuxカーネルの脆弱性、CopyFail (CVE-2026-31431) が話題になっています。AIによって発見された論理バグで、汚しても問題ないEC2環境を作って実際に検証してみました。 この脆弱性は、 一般ユーザーがroot権限に昇格できる というものです。実行条件がとても簡単なので話題になりました。ざっくり仕組みを言うと、algif_aead・authencesn・splice() システムコールの組み合わせによって、メモリ上のページキャッシュを直接書き換えられてしまう、というものです。 脆弱性の発生原理は元記事の解説に任せ、ここではPoCで何が起きているのか中心に解説します。 TL;DR PoC を動かすと、一般ユーザーから1コマンドで root が取れる ディ
ETCカードに対応するため、クレジットカードの決済を無停止でDBマイグレーションするときに考えたこと - LayerX エンジニアブログ
はじめに こんにちは、バクラクビジネスカード開発チームの @budougumi0617 です。 先月まではテックリードでしたが、4月からエンジニアリングマネージャになりました。 バクラクビジネスカードは2022年からサービスを提供している法人様向けクレジットカードのサービスです。昨年2025年からはETCカードのサービス提供も開始しました。 prtimes.jp 本記事では、もともとクレジットカードの決済データを受け取ることのみを前提に設計されていたバクラクビジネスカードのデータベースに対して新しくETCカードの決済データも受け入れられるようにマイグレーションを行なったときに考えたことをまとめます。 要点を先に書くと、次の3つです。 約3年分の決済レコードが蓄積された本番DBに対して、サービス無停止でスキーマ変更を完了した テーブルごとに許容できるマイグレーション時間も考慮しながらマイグレ
AWS Lambda が Rust を正式サポートしました
に投稿した記事の微修正版です いままで AWS Lambda のRustはExperimentalとして提供されていましたが、2025年11月14日に一般提供開始となりました。 Custom Runtime と Cargo Lambda LambdaのRustサポートはCargo Lambdaというオープンソースフレームワークにより実装されています。 2018年にLambdaがCustom Runtimeをサポートしました。これにより公式サポート外の言語（Rustを含む）でLambda関数が書けるようになりました。そのあとCustom Runtimeを使用したRust RuntimeがAWSにより開発されリリースされました。 しかしながら標準でLambdaがRuntimeをサポートしていたなかったこともあり、ビルド・デプロイはかなり複雑でした。この問題を解決するためにコミュニティベースで開
Devin の環境を宣言的にセットアップできるようになっていた
はじめに Devin のドキュメントを眺めていたら、魂が震える機能が追加されていることに気付きました。その名は 宣言的構成 （Blueprints）[1]です。 宣言的構成 は、Devin の環境を YAML 形式で宣言的にセットアップできる仕組みです。さらに、 「Organization」と「Repository」の2階層（Enterprise Plan であれば Enterprise が追加になり3階層）で階層管理できる（Docker のレイヤーのようなもの）。 セットアップの中で GitHub Actions のアクションを使える。 Git ベースでの管理は現時点では未対応だが、今後リポジトリに保存してビルドを自動トリガーできるようになる予定。 と、かなりユーザーが求めていたものが詰まった機能という感じです。 この記事では、既にこれまでのクラッシック構成（Devin’s Machin
セキュリティキャンプ2025 ジュニア参加記｜はやぶさ
2025年の夏、セキュリティ・キャンプ ジュニアに参加しました。5泊6日の合宿で、プログラミングを教わったり（セキュリティだけではありません）、参加者同士で交流したりと、夏一番の思い出になりました。ちなみに、山に登ってテントを設営するようなキャンプではありません。 キャンプ中は毎晩日記を書いていたので、内容を簡潔にまとめて共有することにしました。日記を元にした参加記のため、専門的な話も含まれますが、当時の雰囲気を感じていただければ幸いです。 参加前セキュリティ・キャンプの存在は、受講生の募集が始まるほんの数日前にたまたま知ることができました。IPAのWebサイトを一通り眺めてすごく楽しそうだと思い、応募課題を進めていきました。課題の内容は決して難解なわけではなく、使ったことのないプログラミング言語で簡単な入出力を試したり、プログラミングの経験を問われたりするものでした。ちなみに私は前者で、
OpenClawマルチエージェントとroutingによるミニmoltbookの運用
OpenClaw とは OpenClaw は、自分のマシンで動かす self-hosted gateway です。「a self-hosted gateway that connects your favorite chat apps and channel surfaces」を掲げており、Discord / Slack / Telegram / WhatsApp / iMessage / Microsoft Teams / Signal / Google Chat / Matrix / Zalo などのチャットチャネルと、AI コーディングエージェントを橋渡しする役割を持ちます。 主な特徴は次の4つです。 Self-hosted — runs on your hardware, your rules Multi-channel — one Gateway serves built-in
おい、夢は持たなくてもよいけど、失敗はしろ - じゃあ、おうちで学べる
はじめに 即答できなかった。 昨日、長崎大学の、学生たちからの問いに。 「AIに負けない人材になるには、何をやればいいですか」と。 何人もの学生が、言い方を変えて同じことを聞いてきた。真剣な目だった。生成AIが自分たちの未来を奪うかもしれない、という空気を、彼らはきちんと吸い込んでいた。その空気の前で、私は言葉を選びきれなかった。自分が答えを持っていないと、そのとき初めて気づいたわけではない。ただ、答えを持っていない、と認めるのに、少し時間がかかった。 講義で使った資料はここに置いておきます。ちなみにAIや夢とか失敗はあまり関係ないです。 👻 今週金曜日に長崎大学にお伺いし、学生向けにお話をさせていただきます。こちらが資料になります。 システムは「動く」だけでは 足りない - 非機能要件・分散システム・トレードオフの基礎https://t.co/bEgdvQ7eO8— nwiizo (@
OWASP ZAP の finding を Rust/Axum の handler に戻して直す - じゃあ、おうちで学べる
はじめに vulnerable-app に ZAP の full scan を回すと、High finding が並びます。XSS、SQL Injection、Path Traversal。alert 名を眺めて、ふと気づく。これは「危険です」の一覧ではない。handler への差し戻し指示書だ。 OWASP ZAP を実行すると、HTML、Markdown、JSON のレポートが出ます。そこには Cross Site Scripting (Reflected)、SQL Injection、Path Traversal のような名前が並びます。ただ、alert 名だけを見ても修正は始まりません。必要なのは、finding を実際の handler、SQL、HTML 出力、ヘッダ設定に戻すことです。 OWASP ZAP は OSS の web 脆弱性スキャナで、HTTP リクエストを投げて挙
新刊紹介：めもおきば TechReport 2026.04 - めもおきば
技術書典20のオンラインマーケットが本日 4/26 までです。 techbookfest.org ということはつまり、技術書典経由で紙の本を買えるのも今日までです！ 紙の本が欲しい方は、今日のうちにぜひお願いします。電子版はいつでも買えますが、同じ金額で紙の本も入手できるのは会期中だけです！印刷物は物理法則に支配されています。 というわけで、今回の新刊『めもおきば TechReport 2026.04』の紹介です。 めもおきばTechReport 2026.04 表紙 時間がない人向けの紹介 サーバーレスの次に来る実行モデル、SecHack365、台湾・新竹サイエンスパーク訪問記、そして2026年の技術トレンド予想をまとめた、全24ページの技術コラム雑誌です。 今回の中心は、「いま技術の地図はどの方向に広がっているのか」です。Durable、AIエージェント、ローカルLLM、データ基盤、半
ハーネスエンジニアリングにどう向き合うか 〜ルールファイルを超えて開発プロセスを設計する〜 / How to approach harness engineering
【Harness Engineering入門】AIエージェントを制御するアプローチの登壇資料です。 https://findy.connpass.com/event/388471/
2026年、知っておくべき最新 サーバレスTips10選/serverless-10-tips
2026年、サーバーレスの現在地 -「制約と戦う技術」から「当たり前の実行基盤」へ- /serverless2026
複数環境でのClaude Code利用統計をOpenTelemetryで一元管理する
Claude Codeの利用統計の可視化ツールとしてccusageが有名ですが、リモートサーバなど複数の環境で利用している場合では、それぞれの環境ごとにしか集計することができません。私の場合は手元のラップトップに始まり、Kaggleなどのデータコンペ用のGPUサーバやProxmoxで構築した各種開発環境などがいくつもあります。それらを横断してClaude Codeの利用統計を見る必要がありました。 Claude Codeには、標準でOpenTelemetryによるテレメトリ送信機能が実装されています。これを使うことで、自前のサーバにメトリクス・ログを集約し、複数環境の利用統計を一元管理できるようになります。単なる利用コストの確認のみならず、利用モデルの確認などにも使えて、とても便利です。 この記事では、Claude CodeのOpenTelemetryによる利用統計の集約および可視化までの
gh skillが登場。GitHub公式のスキル管理ツールにnpx skillsから乗り換えた
AIエージェント向けのスキル（Agent Skills）、みなさんはどう管理していますか？ 2026/04/16、GitHub公式CLIのghに、スキルをパッケージ管理する新しいサブコマンドgh skillが追加されました。GitHubのリポジトリに公開されているスキルをgh経由でインストール・アップデート・公開できます。私はこれまでnpx skillsでスキルをインストール・管理してきましたが、gh skillの方が安全面でよさそうなので乗り換えることにしました。 本記事では、メリットや実際の動作を紹介します。 3行まとめ gh skill install スキルでスキルをインストールできる gh skill publish スキルで自作スキルを仕様に沿って公開できる 改ざん検知・バージョン固定・由来情報の埋め込みなど、サプライチェーン対策が組み込み済み 環境準備 GitHub CLI
事故後からの流れ 3月19・20日｜辺野古ボート転覆事故遺族メモ
事故後4日目、5日目の内容を時系列で記します。内容は、学校、ツアー会社、海上保安部に対し、大きな誤りがないことを確認済みです。 調査や捜査に影響を与える可能性のある内容は省いております。 内容は主に、長女のメモをベースにしています。 時刻表記はおおよそのものです。 移動手段やホテルについては、記述がないものは全額学校負担でツアー会社手配のものとなっています。 報道機関の方々へ：Noteで私が投稿するすべての文面や写真については、報道や記事において、自由に利用いただいて問題ありません。 3月16日 (月) https://note.com/beloved_tomoka/n/n55f4f69741a2 3月17日 (火) https://note.com/beloved_tomoka/n/n91d4a369efae 3月18日 (水) https://note.com/beloved_t
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Decoupled DiLoCo for Resilient Distributed Pre-training
Decoupled DiLoCo for Resilient Distributed Pre-training
Exa and Google Partnership
AI時代の戦略的アーキテクチャ 〜Adaptable AI をアーキテクチャで実現する〜 / Enabling Adaptable AI Through Strategic Architecture
ハーネスエンジニアリングとは？
20260423_執筆の工夫と裏側 技術書の企画から刊行まで / From the planning to the publication of technical book
