RubyGemsの運営元が「Ruby Shield」を発表。RubyとRailsへのサプライチェーン攻撃への対策としてShopifyが4年で100万ドル（約1億3000万円）を提供
RubyGemsの運営元が「Ruby Shield」を発表。RubyとRailsへのサプライチェーン攻撃への対策としてShopifyが4年で100万ドル（約1億3000万円）を提供 Ruby言語用のパッケージであるGemのホスティングサービス「RubyGems.org」を運営するRuby Centralは、RubyやRailsに対するサプライチェーン攻撃への対応を行うプロジェクト「Ruby Shield」を開始すると発表しました。 Today we’re excited to announce Ruby Shield This new initiative in partnership with @ShopifyEng will support open-source and enable us to take on new security-focused projects to bet
個人gemにrubygems_mfa_requiredをつけた - くりにっき
rubocop 1.23.0で Gemspec/RequireMFA が増えていたので rubygems_mfa_required の存在に偶然気づきました。 guides.rubygems.org gemリリース時のMFA *1 は元から設定していたんですが、gemspecに spec.metadata = { "rubygems_mfa_required" => "true" } # or spec.metadata["rubygems_mfa_required"] = "true" みたいのを書いておくことで *2 gemのリリースや削除でMFAが必須になってさらにセキュアになるので、この機会に手持ちのgemに軒並み rubygems_mfa_required をつけました。 github.com 多分3日がかりで40〜50個のgemに適用してリリースしたと思います *1: http
名前のタイプミスを狙った悪質なパッケージがRubyGemsで多数公開される | スラド セキュリティ
人気のRubyGemパッケージに似たパッケージ名を付け、タイプミスを狙ってダウンロードさせようとする悪質なRubyGemパッケージが短期間に多数公開され、多数ダウンロードされていたそうだ(ReversingLabs Blogの記事、 Ars Technicaの記事)。 有名ドメイン名やパッケージ名のタイプミスを狙う攻撃は「タイポスクワッティング」などと呼ばれる。2017年にはこの手法を使用した悪質なパッケージがPyPIで発見されたことがスラドでも話題になった。調査を行ったReversingLabsもこの手法を使用する悪質なパッケージをPyPIやNPMで発見しているという。 タイポスクワッティングに絞って行われた今回の調査では、人気のRubyGemパッケージのリストを作り、名前の似たパッケージのアップロードを2月16日から25日まで監視。その結果、700以上の悪質なパッケージが2つのアカウン
RubyGems 3.1のローカル非推奨警告を消す - koicの日記
RubyGems 3.1 がリリースされたのでローカル環境の RubyGems をアップデートした。 % gem update --system % gem -v 3.1.2 アップデート後、gem i <gemname> や gem の差分を見る gemdiff などを使った時に以下のような警告の川が流れるようになった。 実際 Gem::Specification#rubyforge_project= が使われている gemspec に関してかなりの量が自分のローカルの場合は表示されていたので、上記は抜粋となる (古めのリポジトリを対象としているので、それも影響しているかもしれない) 。 Gem::Specification#rubyforge_project= called from /Users/koic/.rbenv/versions/2.4.9/lib/ruby/gems/2.4
Rails DM 2019 で RubyGems 3 の話をしてきた - HsbtDiary(2019-03-22)
■ Rails DM 2019 で RubyGems 3 の話をしてきた Rails DM 2019 で RubyGems 3 の話をするために青山の Oracle オフィスまで行ってきた。山手線と銀座線を駆使するってかんじだったけど中々遠い。 オープニングで DHH の AMA があって、Ruby 3 に期待することは -> Ruby は十分速いよ、というコメントが面白すぎてよかった。話も流暢だし、毎年 RailsConf でキーノートやってるだけあるなあと感心してしまった。一回くらいは RailsConf に行って会っておこう。 この後は発表を聞きながら軽く資料を手直ししたりしていた。RubyKaigi と違って practical な話が多くてだいぶ面白かったなあ。お弁当を食べながらスタディプラスの、英語学習の動画を見てよくできてるなと興味を持ったり、チラシをもらいながらぶらぶらした
What's new in RubyGems3
Opal,The Journey from Javascript to Ruby at Ruby Conf Kenya 2017 by Bozhidar ...
RubyGems の複数の脆弱性について
Posted by usa on 29 Aug 2017 Ruby の標準添付ライブラリである RubyGems に、複数の脆弱性が発見されました。 RubyGems の公式ブログにて報告されています。 詳細 以下の脆弱性が報告されています。 a DNS request hijacking vulnerability. (CVE-2017-0902) an ANSI escape sequence vulnerability. (CVE-2017-0899) a DoS vulnerability in the query command. (CVE-2017-0900) a vulnerability in the gem installer that allowed a malicious gem to overwrite arbitrary files. (CVE-2017-0901
Multiple vulnerabilities in RubyGems
Posted by usa on 29 Aug 2017 There are multiple vulnerabilities in RubyGems bundled by Ruby. It is reported at the official blog of RubyGems. Details The following vulnerabilities have been reported. a DNS request hijacking vulnerability. (CVE-2017-0902) an ANSI escape sequence vulnerability. (CVE-2017-0899) a DoS vulnerability in the query command. (CVE-2017-0900) a vulnerability in the gem insta
19 Ruby on Rails Gems which Can Amaze — Rubyroid Labs
Best Posts 19 Ruby on Rails Gems which Can Amaze By Daria Stolyar Apr 12, 2017 7 Mins Read Ruby on Rails is great for its gems. We have picked up our favorites to share them with you. Check out 19 Ruby gems that amaze us inside. 1. Ransack Link: https://github.com/activerecord-hackery/ransack Ransack gem offers a very easy and nice-to-use API for search. It works well to build simple and straightf
Funding Rubygems.org - RubyGems Blog
Since the early days of Ruby, Ruby Central, Inc. has served as an organizational anchor for our community. Starting in 2001, with the organization of the first International Ruby Conference, we have been responsible for running RubyConf and subsequently RailsConf. Thanks to you all, our conferences have enjoyed broad, sustainable success, endowing us with a solid financial foundation, which we the
【今月のgem】gemが改ざんされているかどうかチェックするgemを作った - くりにっき
先週のRubygems.orgの脆弱性報告を受けてgemを作りました github.com 脆弱性の詳細 使い方 自分がリリースしたgemのうち攻撃を受けた可能性があるgemを検索 Rubygems.orgに上がっているgemとリポジトリに上がってるソースコードの差分を調べる 既知の問題 まとめ 脆弱性の詳細 RubyGems.org gem replacement vulnerability and mitigation - RubyGems Blog （翻訳）RubyGems.orgでgemが置き換えられる脆弱性とその緩和策について - Qiita gemの名前にダッシュが含まれるもので（例：'blank-blank'）、2014年6月11日以降、2015年2月8日以前にアップロードされたものは攻撃を受けている可能性があります。（2015年2月8日から2016年4月2日の間にアップロー
RubyGems.orgの脆弱性について - Money Forward Developers Blog
こんにちは、金子です。 普段はRailsを書いたりしています。 今回は2016/4/6に発表された、RubyGems.orgの脆弱性についてまとめました。 脆弱性について RubyGems.org gem replacement vulnerability and mitigation をざっと読んでみると、 特定の状況で、RubyGems.orgにupdateされているファイルの内容が不正に書き換えられる可能性があった 特定の状況とは、2014-6-11から2016-4-2までの間に登録されたgemのうち、'blank-blank'のように名前に'-' (dash)が入っているもの ただし2015-2-8以降に登録されたgemはRubyGems.orgがsha256 checksumを計算しており、それと実際のファイルの突合をして、書き換えられていないことを確認ずみ つまり、2014-6
（翻訳）RubyGems.orgでgemが置き換えられる脆弱性とその緩和策について - Qiita
はじめに この記事は2016年4月6日に公開された RubyGems.org gem replacement vulnerability and mitigation の日本語訳です。 内容を見る限り、この脆弱性が実際に悪用された可能性は低そうですが、念のためgemの開発者やgemの利用者は一読しておくことをお勧めします。 翻訳の方針について 筆者はgem開発やセキュリティ問題にそこまで詳しくないため、一部翻訳に怪しいところがあるかもしれません。 また、翻訳は日本語としての読みやすさを重視してところどころ意訳しています。 もし完全に間違った訳になっていたり、意訳しすぎて原文のニュアンスが変わってしまったりしているところがあれば、コメントや編集リクエスト等でやさしく指摘してやってください。 原文： RubyGems.org gem replacement vulnerability and
gemを作るときに実行ファイルをbin/以下ではなくexe/以下に置くことについて - Route 477(2015-09-14)
■ [ruby] gemを作るときに実行ファイルをbin/以下ではなくexe/以下に置くことについて 例えばあなたがコマンドラインからピザを注文するようなRubyGemsを書いているとすると、今まではbin/order_pizzaに実行用のファイルを置いていたと思うけど、それがexe/order_pizzaに変わるかもしれない、という話。 仕様変更なの？ 実行ファイルをどこに置くかというのは完全に慣習の話で、.gemspecの仕様上は好きなところに置けるようになっている。なので既存のgemが動かなくなるという話ではない。 ただbundle gemコマンドでgemを新規生成したときに、以前のBundlerでは.gemspecが以下のようになっていたのに対し、 spec.bindir = "bin" spec.executables = spec.files.grep(%r{^bin/}) {
Rubyコードの健康を保つためのgem 5+1選 - Money Forward Developers Blog
こんにちは、Railsエンジニアの鈴木(信)です。 先日31歳になったんですが、やはり30歳を超えたあたりから衰えたというか、何か体に変化があったように思います。 自身の健康はもちろんですが、コードの健康(品質)のことも気になる年頃になりました。 そこで今回は弊社で利用しているコード解析ツールをご紹介します。 brakeman - セキュリティ brakemanは、簡単なXSSやインジェクション系の脆弱性を検出してくれるgemです。 もちろんこれだけで完全に安心という訳ではありませんが、弊社ではJenkinsのBrakeman Pluginを使って、継続的にモニタリング、修正しています。 使い方 $ brakeman $ brakeman --only-files=path/to/specific_file simplecov - テストカバレッジ simplecovはカバレッジ計測ツール
1人Webサービス開発で使っているGemfileそのまま公開 - Qiita
最近個人的に作った写真共有サイトを公開しました。 photoll - スポット写真共有サイト この写真共有サイトで実際に使っているおすすめGemを晒してみます。 あと、おまけで使ってないけど便利そうなGemとかも紹介。 一人で1からWebサービスを作る過程を書いた拙作のブログエントリもよかったら見てください。 【1人でWebサービス開発】新米Railsエンジニアが無謀にも写真共有サイトを作りました だいぶ長いですが、Gemfileをそのまんま載せました。簡易説明付き。 主要なGemをあとで説明します。 source 'https://rubygems.org' gem 'rails' gem 'mysql2' gem 'haml-rails' # HTMLを簡潔に書ける gem 'sass-rails' # CSSを効率的に書ける gem 'bootstrap-sass' # Twitte
橋本商会 » 赤外線学習リモコンIRKitのrubygemを作った
IRKitはよく「iOSから操作できる赤外線リモコン」と説明されるけど、そのAPIはHTTPなのでiOS以外からももちろん使えます。 というわけでRubyから使いやすいようにした。 ソースコードはgithubにある。不具合等はissueかtwitterにお願いします。 irkitコマンドという便利ツールも入れておいた。 bonjourでLAN内のIRKitを発見する機能や、赤外線データのgetとpost（と保存）、家のLANの外からIRKitを操作するInternet API関連が実装されているので プログラムを書かなくてもirkit gemをインストールすればすぐIRKitが使える。 なんでこういうツールが付いているかというと、デバイス系はコマンド一発で全部実行できるテストコードが書きにくい部分がかなりあって、しょうがないから各機能をテストしやすい実行可能コマンドを作るぐらいしかない。
2.2.0 Released - RubyGems Blog
RubyGems 2.2.0 includes major enhancements, minor enhancements and bug fixes. To update to the latest RubyGems you can run: gem update --system If you need to upgrade or downgrade please follow the how to upgrade/downgrade RubyGems instructions. To install RubyGems by hand see the Download RubyGems page. Special thanks to Vít Ondruch and Michal Papis for testing and finding bugs in RubyGems as it
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
gem install で C拡張をビルドする流れを追ってみた : sonots:blog
BestGems -- Ruby Gems Download Ranking