Koichi ITO koic

Smoozサービス終了に寄せて

この文章と、それに含まれる考察や各サービスへの脆弱性報告などはmala個人の活動であり、所属している企業とは関係ありません。
一方で私は、企業が閲覧履歴を収集して何をしたいのか、所属してる企業や他社事例について、ある程度詳しい当事者でもあります。
一般論として書けることは書けるが、(業務上知り得た知識で開示されてないものなど)個別具体的なことは書けないこともあり、また観測範囲に偏りがある可能性もあります。

タイポなどは Twitter の @voluntas までお願いします。

@willnet

Git 2.26.0以下^＊1には、細工したリポジトリをgit cloneしたときに、そのユーザーのCredential(たとえばGitHub.comをcloneするときに使う認証情報)を奪い取れる脆弱性があります。

📝 取得できる認証情報は credential.helper の設定に依存する

既にPoC(検証するためのコード)もあり、結構簡単なので是非Gitを2.26.1以上にアップデートしましょう。 git submoduleを使うと見た目ではわかりにくい攻撃もできるので、「気をつける」では回避は難しいです。

Go 1.14 の主なregressionです。1.14.1で修正されると思われます。

追記(2018-12-25): 次のレポートに同様 + 追加した内容を公開しています。

この文章は、現在進行形で機能追加や仕様変更が行われているNode.jsコアモジュールとブラウザ向けShimにおける挙動の違い(ギャップ)が広がってきている問題について調べたものです。

	ruby '2.7.1'

	gem 'rails', github: 'rails/rails'
	gem 'tzinfo-data', '>= 1.2016.7' # Don't rely on OSX/Linux timezone data

	# Action Text
	gem 'actiontext', github: 'basecamp/actiontext', ref: 'okra'
	gem 'okra', github: 'basecamp/okra'

	# Drivers

	#[test]
	fn iter_demo() {
	let v1 = vec![1, 2, 3];
	let mut v1_iter = v1.iter();

	// iter() returns an iterator of slices.
	assert_eq!(v1_iter.next(), Some(&1));
	assert_eq!(v1_iter.next(), Some(&2));
	assert_eq!(v1_iter.next(), Some(&3));
	assert_eq!(v1_iter.next(), None);