mala mala

noteとインシデントハンドリングと広報の仕事

前提

この文章はmalaが書いています。個人の見解であり所属している企業とは関係ありません。
noteには知り合いが何人かいるし、中の人と直接コンタクトも取っているし相談もされているが、(10月2日時点で)正規の仕事としては請け負っていない。

10月2日追記

正規の仕事として請け負う可能性もありますが、自身の主張や脆弱性情報の公開に制限が掛かるのであれば引き受けないつもりです。

アカウント名にスペース入れてソーシャルディスタンス、って謎の風習、最初はどこから始まったの？

5/10 に書いたこれ https://gist.github.com/mala/08fdbc680d84bb1b2305688282f26cea に関連して

"アカウント名にスペース入れてソーシャルディスタンス、って謎の風習、最初はどこから始まったの？" https://twitter.com/t_yano/status/1260033514788884480

というTweetがあり、自分もインターネットミームとしての側面については気になっていたため調べていた。(事前に把握していたものも含む)

普段からTwitterをクロールしていたわけではなく、大規模なデータを持っていないので、実際にどこが発端になって、どういう流れで広まっていったのか正確なところは良く分からない。経緯を把握しているものだとシャープを参考にした(シャープはアカウント名部分ではないけど)というものがあるのは知っている。フォロワー数も非常に多く、企業SNS運用担当者の中では圧倒的な影響がある。

生活と意見: ソーシャルディスタンスなどと称してユーザー名や文章にスペースを挟む行為についての苦情

更新履歴

2020-05-13 追記

継続して観測していて、対応が行われたアカウントの記録などを残している https://twitter.com/bulkneets/status/1259419102851903490
FAQとして「機械が人間の都合に合わせろ」に対する反論を取り急ぎ置いておく
走り書きで書いた https://twitter.com/bulkneets/status/1260524434256879617
https://twitter.com/voqn/status/1259515760986095617

Rails の CVE-2019-5418 は RCE (Remote code execution) です

2019-03-23 更新

Remote Code Executionとして、Advisoryが更新された。
https://groups.google.com/d/msg/rubyonrails-security/zRNVOUhKHrg/GmmcVXcmAAAJ
Thanks to @sorah @tenderlove

前置き

次世代Webカンファレンス 2019 振り返り

この文章に関しても所属組織とは関係のない個人の見解です

所感など

本当に全く打ち合わせをしていないので、話題が分散しがちだったかもしれない。
せっかくの所属組織とは無関係のレギュレーションなので、具体名を上げてガンガン治安の悪いことを言うつもりだったのだけど、直前に「具体的な企業名は避けましょう」と言われて若干遠慮した。
マズいことをガンガンしゃべる覚悟で来たので、防刃ベストを着ているが、特に出番は無かった。トイレにも行った。
本当は話す予定だったトピックについて、いくつかは、別途private gistに書く。

CVE-2018-0691 プラスメッセージにおける証明書検証不備について

https://jvn.jp/jp/JVN37288228/
平日の業務時間内に見つけた問題である関係で(自分ルールで)所属を入れていますが、他社サービスに対する調査や報告は業務とは一切関係のない個人の活動として行っています。
文責はmala個人にあります。お問い合わせなどありましたら個人宛にどうぞ。TwitterのDMや任意の文字列 @ma.la

概要

もう5年も前の話になっていたのだけど、Echofon(Twitterクライアントの一つ)の件を今更だけど書かねばならない。

当時、Echofonのプッシュ通知を管理するサーバーの認証機能に欠陥があり(というか認証が無く) 他のEchofon利用者に対して送られるpush通知(DMやreplyなど)を横取りすることが出来た。

このセキュリティホール自体は素早く修正されたのだけど、この件をきっかけに、クライアント/サーバーの境界線が曖昧になっている、という問題を強く意識するようになった。

調べたこと

通信をキャプチャして調べた。似たようなことをしている人が既にいて仕組みについてはサービス提供者側が説明されているとおりだった。

IDパスワードはネイティブUIで表示して、html中のどこに入力するかなどはリモートから受信するjsで定義している。特に難読化や独自の暗号化などがされているわけではない。

見た目の上で、隠されているフィールドに対しても自動入力してしまうという問題が話題になっている(2017年1月)

https://github.com/anttiviljami/browser-autofill-phishing

のだけれど、この問題の歴史はとても古い。自分も調査したり問題を報告したりしているので、振り返ってみる。

2012年の話

2012年4月のShibuya.XSS #1 https://atnd.org/events/25689 で、Hamachiya2が発表した

http://hamachiya.com/junk/x-autocompletetype.php

	use strict;
	use Net::Twitter;
	use MongoDB;

	my $nt = Net::Twitter->new(
	traits => [qw/API::RESTv1_1/],
	consumer_key => "xxx",
	consumer_secret => "xxx",
	access_token => "xxx",
	access_token_secret => "xxx",