セキュリティは、DevOpsやアジャイル開発にブレーキをかけるのか――マネーフォワード流DevOps実践のポイント
セキュリティは、DevOpsやアジャイル開発にブレーキをかけるのか――マネーフォワード流DevOps実践のポイント：DevOps時代のテスト自動化カンファレンス（中編）（1/2 ページ） 2016年12月6日に開催されたセミナー「DevOps時代のテスト自動化カンファレンス～はやく、いいものを届けよう～」のレポート第2弾では、マネーフォワードの担当者を招いてのランチセッションの模様をはじめ、DevOpsとセキュリティ、テスト自動化の関係を解説していく。 市場ニーズを素早く形にし、「ビジネスの成果を獲得するまでのリードタイムを短縮する」上で重要な手法となる「アジャイル開発」や「DevOps」だが、これらの取り組みにおいて「テスト」というプロセスをどう組み込むかが「いいもの」を作れるかどうかの大きな分かれ目となる。管理すべきコード、テストすべきコードが増加する中で必要十分なテストを実施し、開発
Brakeman
Finally, just a small release! Changes since 6.1.1: Avoid detecting Phlex components as dynamic render paths (Máximo Mussini) Avoid detecting ViewComponentContrib::Base as dynamic render paths (vividmuimui) Avoid copying Sexps that are too large (#1818, #1546) Add EOL date for Ruby 3.3.0 Remove deprecated use of Kernel#open("|...") Remove safe_yaml gem dependency Update Highline to 3.0 (#1812) Com
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
Ruby 2.0.0 および Ruby 2.1 の今後について
Posted by usa on 24 Feb 2016 Ruby 2.0.0 および Ruby 2.1 の今後の公式サポートについてお知らせします。 Ruby 2.0.0 について かねてからの予告通り、本日(2016年2月24日)をもって、Ruby 2.0.0 の公式サポートは終了となります。 今後、より新しいバージョンの Ruby で行われたバグ修正やセキュリティ修正は、2.0.0 にはバックポートされず、また、2.0.0 の新しいパッチリリースも行われません。 現在まだ Ruby 2.0.0 を使用しているユーザーは、速やかにより新しいバージョン(2.3 等)に移行するよう強く推奨します。 Ruby インタプリタ開発者、あるいは企業内で Ruby インタプリタの保守を担当されている方で、今後も Ruby 2.0.0 の公式リリースが継続されないと困る、という適切な理由がある方は、r
rails3以降のWEBアプリケーションにありがちなXSS - hanagemanの日記ではない
明示しなくてもviewでの出力をHTMLエスケープしてくれるので無警戒になってる html_escapeがシングルクォートをエスケープしないという認識がない viewでjavascriptを書くときに埋め込む値をescape_javascriptしてない このあたりの要素が組み合わさるとXSSがうまれやすいという話を書きます。わかってる人にとってはクソみたいな内容なので読む時間がもったいないかもしれません。たとえばjs.erbでこんなふうに書いてたとして var article_id = '<%= @article_id %>'; @article_idが信用できる値だという前提だと問題ないのですが、controllerで @article_id = params[:article][:id] 実はこんなことしてるだけであとは素通しっていう人も、もしかしたらいるかもしれません。要は外から渡
Ruby 1.9.2リリースとWEBrick脆弱性問題の顛末 - 西尾泰和のはてなダイアリー
はい、Ruby 1.9.2がリリースされましたね。このバージョンではWEBrick にゼロデイ攻撃可能な脆弱性 - スラッシュドット・ジャパンで紹介されている脆弱性が僕が書いたパッチで修正されているわけなのですけど、そもそもなんで僕が修正しているのか、って顛末がわりと面白いので紹介します。 Apple、upstreamに報告してくれないまま脆弱性をCVEに届け出る upstreamに連絡が来ないまま脆弱性が公開される ruby-devにAppleが書いたと思われるパッチが貼られる(Appleでない人間によって) パッチのライセンスが不明なので取り込めない ライセンスを問い合わせるAppleの窓口が不明なので問い合わせもできない ruby-devを読んだ人はライセンス上安全なパッチを書けない 脆弱性だから話は非公開に進めたい yuguiさんがruby-devを読んでない僕に書かせることにする
Ruby on Railsのセキュリティガイドブックが公開 | OSDN Magazine
ドイツのWebアプリケーションセキュリティコンサル企業らが設立したRuby on Rails Security Projectは11月4日、Ruby on Rails（RoR）のセキュリティガイド「Ruby on Rails Security guide」を公開した。HTMLページまたはeブック形式で無料で閲覧できる。 RoRアプリケーションを安全にするためのガイドブックで、ドイツ在住の開発者で同プロジェクトのオーナーでもあるHeiko Webers氏が作成した。セッション、クロスサイトリファレンス偽造（CSRF）、アカウントハイジャックやCAPTCHAsなどのユーザー管理、SQLインジェクションやクロスサイトスクリプティングなどのインジェクションなどの項目について、説明や具体的なアドバイスを綴っている。 Webers氏は、RoRのようなWebアプリケーションフレームワークは正しく利用すれ
Railsの脆弱性: XML実体爆発攻撃 | 水無月ばけらのえび日記
RailsでXMLリクエストのパースに使用されているREXMLに、DoS脆弱性が発見されました。XML entity explosion attackと呼ばれる攻撃手法により、ユーザから与えられたXMLを解析するようなアプリケーションをサービス不能(DoS)状態にすることができます。大部分のRailsアプリケーションはこの攻撃に対して脆弱です。 XML entity explosion attackというのは、実体宣言の中で別の実体を参照することを繰り返して実体参照の処理負荷を高める手法のようですね。掲げられているサンプルコードは短いですが、実体参照を展開するとデータは30メガバイトにもなります。展開の処理方法によっては、メモリを食い尽くしてしまうのでしょう。 外部からXMLデータのPOSTを受け付けるようなサイトは注意……と言いたいところですが、XMLデータのPOSTを受け付けないはずの
REXMLのDoS脆弱性
Posted by Shugo Maeda on 23 Aug 2008 Rubyの標準ライブラリに含まれているREXMLに、DoS脆弱性が発見されました。 XML entity explosion attackと呼ばれる攻撃手法により、ユーザから与えられ たXMLを解析するようなアプリケーションをサービス不能(DoS)状態にすること ができます。 Railsはデフォルトの状態でユーザから与えられたXMLを解析するため、大部分の Railsアプリケーションはこの攻撃に対して脆弱です。 影響 攻撃者は、以下のように再帰的にネストした実体参照を含むXML文書をREXMLに 解析させることにより、サービス不能(DoS)状態を引き起こすことができます。 <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE member [ <!ENTITY a "&b;
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
