syuilo syuilo

noteの独自ドメインセッションの脆弱性について報告した件

文責: mala

前置き

note.com (以下note) に2020年に報告した脆弱性(現在は修正済み)を解説する
個人の活動として行っており所属組織とは関係がない
自分がnote社に対して、問題があると指摘していたのは主に広報対応についてですが、この記事は技術的な知見を共有することを目的とするため、技術的な解説を中心にします。
公開にあたってはnote社に対して確認の上で行っています。note社による修正対応は2021年までに実施されていますが、その修正内容が適切であるかどうかについて保証するものではありません。(網羅的な確認や追加の検証をしていません)

Misskeyのデフォルト (めいすきーは異なる) では、master, workerの2プロセスが上がる。 masterは最初に上がるやつで、主になにもしない。 workerはmasterからforkされるプロセスで、master以外のほぼ全ての仕事を行う。

workerの数はconfigのclusterLimitで調整できる (デフォルトは1)。

このメモは、私（@ymmt2005）が長年にわたってソフトウェアプロダクト開発に関わってきて 2022年現在こうしたほうが良いと考えているベストプラクティスです。

科学的な分析等に基づくわけではない経験則であるため、今後も随時見直すことがありますし、ここに書いてあることが常に正しいわけでもあらゆるソフトウェア開発に適するわけでもありません。

しかしながら、実務経験が豊富で、モダンな技術スタックに明るいエンジニアの経験則は一定の役に立つのではないかと考えて記します。

EN / JA

Experimental faith for the modern age

In the beginning they created the principle. Now the world was derived from it.

Misskey v13.0.0 (e44f83fb9) 以降では動作しないため、公開を終了しました。

PostgreSQLなどの既存のRDBMSはスキーマを持つ。スキーマがあることは良いことだが、このスキーマのライフサイクルはアプリケーションコードのライフサイクルと乖離しがちで、結果として以下のような問題が発生する。

特に自動化をしない場合はマイグレーションをデプロイとは別に行う必要が発生する。これにより、
- シンプルに作業が面倒。
- 承認フローが追加で必要になる。または、デプロイはレビューの管理下に置かれているのにマイグレーション側が適切に管理されないなどのミスマッチが起きる。
マイグレーション忘れ、マイグレーションのリバート忘れのリスクがある。

ID	エラーコード(UUIDv4)	詳細
INTERNAL_ERROR	5d37dbcb-891e-41ca-a3d6-e690c97775ac	原因不明の内部エラー
ACCESS_DENIED	56f35758-7dd5-468b-8439-5d6fb8ec9b8e	アクセス拒否（権限のないエンドポイントにアクセスすると発生）
NO_SUCH_ENDPOINT	f8080b67-5f9c-4eb7-8c18-7f1eeae8f709	存在しないエンドポイント
CREDENTIAL_REQUIRED	1384574d-a912-4b81-8601-c7b1c4085df1	アクセストークンによる認証が必要
AUTHENTICATION_FAILED	b0a7f5f8-dc2f-4171-b91f-de88ad238e14	認証が必要
I_AM_AI	60c46cd1-f23a-46b1-bebe-5d2b73951a84	Ai-Modeのため、そのエンドポイントに対してのアクセスは制限されている。
YOUR_ACCOUNT_SUSPENDED	a8c724b3-6e9c-4b46-b1a8-bc3ed6258370	アカウントが凍結されている

DO NOT RUN THIS , it will attempt to recursively overwrite files.

What follows is very simple deobufscation & explanation of what the code is doing. I have changed the library imports to make it more clear

import path from "path";

These are the current alternatives (with links when possible):

NewPipe (which you should have either way for youtube-dl/yt-dlp integration)
NewPipe fork by polymorphicshade, which includes SponsorBlock support.
LibreTube (still in early beta)
A web browser with uBlock Origin (or another ad-blocker; Enhancer for YouTube has one build-in, but uBlock is universal and more powerfull, in addition to allowing to also remove non-advertisement parts of the website, like the top shelf with recommended tags / search querries), Enhancer for YouTube, SponsorBlock and [Return YouTube Dislike](https://

	### {
	name: "クエリリムーバ"
	author: "@[email protected]"
	version: 6
	description: "投稿フォームに入力された文字列からURLクエリパラメータを除去して投稿します。クエリパラメータを削除したいURLの直後にconfigで指定した末端識別文字列を入れてください。"
	permissions: []
	config: {
	endStr: {
	type: "string"
	label: "末端識別文字列"