tatamilab.jp
RailsでXMLリクエストのパースに使用されているREXMLに、DoS脆弱性が発見されました。XML entity explosion attackと呼ばれる攻撃手法により、ユーザから与えられたXMLを解析するようなアプリケーションをサービス不能(DoS)状態にすることができます。大部分のRailsアプリケーションはこの攻撃に対して脆弱です。 XML entity explosion attackというのは、実体宣言の中で別の実体を参照することを繰り返して実体参照の処理負荷を高める手法のようですね。掲げられているサンプルコードは短いですが、実体参照を展開するとデータは30メガバイトにもなります。展開の処理方法によっては、メモリを食い尽くしてしまうのでしょう。 外部からXMLデータのPOSTを受け付けるようなサイトは注意……と言いたいところですが、XMLデータのPOSTを受け付けないはずの
自分の記事は第弐回天下一カウボーイ大会に書いてあります。 オフィシャル関連？ http://onosendai.jp/championship2008/index.html アキバ系!電脳空間カウボーイズZ CyberSpaceCurryboys 第弐回天下一カウボーイ大会 無事終了致しました あーやっぱり自分が写っているｗ しかも変な顔。ｗｗｗ 長文日記 twitterだけではなくBlogでもid:shi3zさんに紹介してもらっちゃっいました。恐縮です。 シン石丸の電脳芸事ニッキ 第弐回天下一カウボーイ大会も無事終了、ありがとうございました: シン石丸の電脳芸事ニッキ シン石丸さんも更新されました！！ココにも家のリンクがありがとうございます。 ASCII.jp：21世紀的な文化のうねりはこれから──元セガの水口哲也氏が講演 (1/2) アキバ系!電脳空間カウボーイズZ: 第二百四十三回
22日から24日の二泊三日にわたって、Rejectセキュリティ&プログラミングキャンプをやってきました。参加者9人でわーわーやりましたよー。 写真で語るReject 土善旅館のお約束。Rejectがいい味出してますね。 無線はfonで。パスワードは戻しました。 機械学習組は集合知プログラミングの本を中心にやったので、こんな状況にwww。 開発風景 花火大会 最終発表会の2時間前という超立て込んでいるときに行われたなぜか花火大会(isocchi案)。線香花火が夏は終わりだと言っていました。 最終発表風景 24日の0時からやりました。全員発表。id:sonodamさんにプロジェクターを持ってきてもらいました。ありがとうございました!! 来年Rejectセキュリティ&プログラミングキャンプを企画する人へ セキュリティ&プログラミングキャンプは結構倍率が高かったりするので、来年も大絶賛Reject
Formulaは、数式や化学構造式をブログに貼り付けて共有するサービスです。 このたび、出力形式が透過PNGになりました。 以下のように、背景色が白以外の環境でもお使いいただけます。 ブラウザがIE6の場合、透過PNGを正しく扱えないため、 従来の非透過PNGと同様の出力となります。 IEPNGFix 2等を使うことで、IE6でも透過PNGを扱えるようになるようです。 今後の方向性としましては、 黒背景用の白文字画像の生成 JavaScriptが利用不可能な環境で、IE6でも利用できるようにするために任意の背景色と前景色を指定して非透過PNGを生成する 等を予定しております。 今後ともよろしくお願いいたします。
はてブのエントリーページに 以下のようなアクセスチャートを出す Greasemonkey を作りました！ このアクセスチャートは、どのくらいの人がそのページに訪れたかという情報を表しています。 「このページはいつ頃から注目を集めだしたか」などの情報が一目で分かるようになります。 期間は、「24時間」から「3ヶ月」までその場で切り替えることができます。 インストールする！ http://userscripts.org/scripts/source/32521.user.js ブックマークレットを使ってみる！ はてブのエントリーページで以下のブックマークレットを実行してみましょう！ javascript:(function(s){s.src='http://userscripts.org/scripts/source/32521.user.js';document.body.appendChi
二週間ほど前に、ようやく、ようやく、ようやく、待ちに待った新サービスを正式公開しました。 長かった。。。結局、構想から一年以上かかってしまいました。今回はほんとに苦しかったです。Lingrのときの経験があるので、もっとサクッといくだろう、４ヶ月ぐらいでリリースできるだろう、とたかをくくっていたのですが、全然そんなことはなく、むしろLingrのときよりもしんどかった。色々理由はあるんですが、そのへんのプロジェクトの裏側のストーリーについてはもうちょっと心理的に落ち着いてから改めて書ければいいなと思っています。 でも、結果的にできあがったものは自分とチームのいまの知力・実力を限界まで出し切った自信作となったので、あとはもう行けるところまで突っ走るしかありません。これまでのユーザの反応を見ていても、いける手応えはあります。 それで、その新サービスってどこよ？というご質問があるかも知れません。色々
話題のウルトラモバイルPCを衝撃から守ります！ 軽量で衝撃吸収力に優れたインナーバッグ “ZEROSHOCK”2シリーズを発売 エレコム株式会社（本社：大阪市中央区、取締役社長：葉田順治）は、抜群の衝撃吸収力を持つ収納ケース“ZEROSHOCK”において、話題のウルトラモバイルPCを外部の衝撃から保護できるインナーバッグ“ZSB-IB019シリーズ”と“ZSB-IB020シリーズ”を9月上旬より新発売いたします。 抜群の衝撃吸収力を持ち、キャリングケースやインナーバッグなどの収納ケースとして人気の高い“ZEROSHOCK”に、話題のウルトラモバイルPC（UMPC）に対応した新モデル、“ZSB-IB019シリーズ”と“ZSB-IB020シリーズ”が登場します。 “ZEROSHOCK”は、吸収性能に優れた新構造の低反発ポリウレタンフォームを採用した収納ケースです。ウェーブ状の凹凸を施した低反発
Ringとは、リクルートグループ会社従業員を対象にした新規事業提案制度です。 『ゼクシィ』『R25』『スタディサプリ』など数多くの事業を生み出してきた新規事業制度は、 1982年に「RING」としてスタートし、1990年「New RING」と改定、そして2018年「Ring」にリニューアルしました。 リクルートグループの従業員は誰でも自由に参加することができ、 テーマはリクルートの既存領域に限らず、ありとあらゆる領域が対象です。 リクルートにとって、Ringとは「新しい価値の創造」というグループ経営理念を体現する場であり、 従業員が自分の意思で新規事業を提案・実現できる機会です。 Ringフロー その後の事業開発手法 Ringを通過した案件は、事業化を検討する権利を得て、事業開発を行います。 さまざまな事業開発の手法がありますが、例えば既存領域での事業開発の場合は、 担当事業会社内で予算や
【DS-10】てってってー [音楽・サウンド] 練習がてら、打ち込み。何番煎じかは知らないけどてってってー てってってー てってってー てっ...
本日、NTTレゾナント様と共同で作成したHadoop解析資料 を公開しました。 弊社でも、Sedueで利用されているインデックス保存用の分散ストレージなどを開発してきましたが、この分散ストレージは、Sedueの利用に比較的特化されているので、今回今後オープンソースの活用も視野にいれて、Hadoopの解析には積極的に取り組んでいます。 執筆者である太田は、CodeZineでHadoopの連載記事を掲載していますが、今回の資料は、よりHadoopの内部構造につっこんだ資料になっています。分散ストレージにおいては、使われる対象が、Webサービスのバックエンドなど、比較的高いアベイラビリティが必要な分野になるので、性能だけではなく、アベイラビリティを向上させるための機能も重要になってきます。今回の解析では、そのような機能も重点的にソースコードレベルで解析しています。 資料は、セミナー等で利用してい
「新宿・池袋方面 電車がまいります」――JR山手線のホームにある電光掲示板をリアルに再現した腕時計が登場した。実物そっくりの横長の長方形で、上半分にはホームの番号や「山手線」といった文字が。下半分には時間や日付を確認できる有機ELディスプレイを備えた。 デザインウォッチを企画・販売するシーホープが開発した。JR東日本の許諾済み商品だ。 ディスプレイは2列表示。上段には電車の行き先と時間、下段には「電車がまいります」といったメッセージを表示する。時計の側面にあるボタンを押せば、時間が日付に、メッセージが「電車が通過します」に変わる。 ディスプレイの文字は「ドット単位まで忠実に再現している」といい、確かに見た目は本物と同じ。実物と同じ字体「新ゴM」も使っている。 デザインは新宿、恵比寿、品川、池袋駅の4種類。それぞれ内回りホームの掲示板を再現しており、例えば恵比寿バージョンならディスプレイ部分
Heads on: Apple’s Vision Pro delivers a glimpse of the future
好きなものは空と緑とS2000とガンダムとラジコン・ミニ四駆、Perfume（かしゆか）。ときどき子育てとキャンプ。 今日は先々週の「ひとりポニョ（一人でポニョを見る）」に引き続き、「ひとりスカイ・クロラ」で一人でスカイ・クロラを見てきました。もっともいつも映画は一人で見に行きますが、世間の方は（特にポニョは）誰かといくものみたいですね。 （1/2スケール 散香） （以下ネタばれあり。ご注意） 押井守監督の完成披露試写会の話や、笑っていいとも、BSの特集などを事前に見てたせいで、多くのシーン、そしてストーリーの概要がわかった状態でみたのがいけなかったのでしょうか。随分と事前知識の範疇に収まってしまいました。とはいいつつも、涙がこみあげてくるシーンもあり、なかなかこれは評価が難しいです。言葉に言い表せない。 とにかくキツイ。 テーマが愛とかなんだとかじゃなくって、「生きること」。逆説的にとら
講演概要(Fail-Safe C) 概要 プログラムの誤り（バグ）によるセキュリティ脆弱性の発生は、インターネッ トの普及した現在において非常に大きな問題になっています。特に、プログラ ム中のメモリ操作の誤りによるメモリ上のデータの破壊は、プログラムの実行 そのものを乗っ取り、ウィルスのような不正コードの侵入を許す可能性が高く なります。実際、バッファ・オーバーラン脆弱性などこの類のバグによるセキュ リティ問題は、報告される脆弱性の多数を占め、現在においても深刻な問題で あり続けています。 特に、世の中のプログラムの大多数を占めるC言語で書かれたプログラムでは、 元来の言語の設計がメモリ操作に関する安全性を全く考慮していないため、単 純なプログラムの誤りがすぐにメモリ破壊脆弱性につながる傾向があります。 最初にC言語が提案された1970年代当時はまだインターネットが実用的に用いら れる
第01回まっちゃ４４５勉強会で話した「なぜ、御社のWebサイトが攻撃されるのか。そして、守るためには何をすればよいのか。」の資料を公開しました。 「安全な車」ならみんな何となくわかるけど、「安全なWeb」ってみんなよくわからないよね。 という話から始めて、最近のWebをターゲットとした自動ツールによる無差別攻撃の現状や、被害に遭うWebサイトのほとんどはバグを抱えているからだということ、そして守るためには要件と設計が必要な理由などを説明しています。 ダウンロードはこちら（PDFファイル：868 KB） 第02回には竹迫さん、徳丸さんが登場！引き続き第2回、第3回も楽しみにしています。
仕事の都合でちょっと遅刻して、18:40着です。 最近の Sledge の使い方 / clouderさん CGIの頃と初期のSledgeと今のSledgeの比較 Dispatcher Config Template Sledge::Plugin::View, Sledge::Plugin::Stash Validation Data::FormValidator (App::Data::Baseなどにvalidate()を定義) Pageクラスから呼ぶ Inside wasaco / kanさん Perlじゃない話(1)。 wassrはperlで出来ている Perlの話はこれだけ wasaco / adobe AIR、角丸ウインドウ DBObject (DBIC風のASのORマッパ) 先にCREATE TABLE 欠点: 構造を変えにくい、リレーションの心配、パフォーマンス 永続的なhas
さて、気づけば日本にいます。あぁ、なんで帰ってきたのか・・。 で、夏の間はずっとスタンフォードにいたわけですが、今回は「学生」の身分だったので、短期とはいえ「F-1ビザ(留学ビザ)」を取得する必要がありました（講義の時間が多いと必要になるんですね）。 「J-1（交換留学生）」ビザは以前労せずとったことがあったので、「まぁ、カンタン、カンタン」と思って自分でやったのですが・・・結果、かなり苦労しました。。。 せっかくなので、VISA 取得の手順を載せておきます。自分はもう取らないでしょうが、こういうのどんどんチャレンジすべきだと思うので、何かの役にたてば、と。 F-1 Visa をとるには、大学の I-20(という書類) が必要 これには通常 TOEFL や GMAT の成績と財政証明書が必要になるので、これらを送るところからスタートする TOEFLなどは早目に受けておきましょう 混んでる時
あるセキュリティ研究者が、公開を計画しているエクスプロイトについてGoogleと議論を続けてきた。このエクスプロイトは、セキュアだと言われているウェブサイトとの通信をセキュリティの施されていないWi-Fiネットワークで行った際、ハッカーが容易にこの通信を傍受可能にする恐れがある。FacebookやYahoo Mail、Hotmailなどのサイトはいまだ脆弱だという。 Riverbed Technologyでリバースエンジニアリングと開発を担当しているMike Perry氏は1年前、ウェブサイトがSecure Sockets Layer（SSL）プロトコルを実装する方法に共通の脆弱性があることをBugTraqメーリングリストで発表した。SSLプロトコルはウェブ閲覧時のデータを守るための仕組み。同氏によると、多くのウェブサイトでは、SSLを使ってデータを暗号化しているのはログインの段階でだけだ
今日はmixi OpenIDという認証サービスが発表され、各所で報じられている。 ミクシィ、認証サービス「mixi OpenID」を提供--「mixi Platform」第1弾 mixiサービス企画部長に聞く、「プラットフォームを開放する理由」 「あなたのマイミクだけコメント可能な掲示板」といったウェブサービスが開発可能になった『mixi OpenID』 「mixiがOpenIDのOPになったからと言って何がどうなるというわけでもないでしょ」と思っていた人も、「マイミクシィ認証」「コミュニティ認証」という2つの仕様には少し驚いただろう。前者は「○○さんとマイミクシィであるか」、後者は「○○というコミュニティに入っているか」をそれぞれ証明するものだ。これらを使えば、単にmixiのユーザが使えるというだけに留まらない、人や関心でのつながりを生かしたアプリケーションを作れることになる。 以下のコ
Posted by Shugo Maeda on 23 Aug 2008 Rubyの標準ライブラリに含まれているREXMLに、DoS脆弱性が発見されました。 XML entity explosion attackと呼ばれる攻撃手法により、ユーザから与えられ たXMLを解析するようなアプリケーションをサービス不能(DoS)状態にすること ができます。 Railsはデフォルトの状態でユーザから与えられたXMLを解析するため、大部分の Railsアプリケーションはこの攻撃に対して脆弱です。 影響 攻撃者は、以下のように再帰的にネストした実体参照を含むXML文書をREXMLに 解析させることにより、サービス不能(DoS)状態を引き起こすことができます。 <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE member [ <!ENTITY a "&b;
アニオタが非オタの彼女にアニメ世界を軽く紹介するための10本 まあ、どのくらいの数のブラウザオタがそういう彼女をゲットできるかは別にして、 「オタではまったくないんだが、しかし自分のオタ趣味を肯定的に黙認してくれて、 その上で全く知らないブラウザの世界とはなんなのか、ちょっとだけ好奇心持ってる」 ような、ヲタの都合のいい妄想の中に出てきそうな彼女に、ブラウザのことを紹介するために 見せるべき10本を選んでみたいのだけれど。 （要は「脱オタクファッションガイド」の正反対版だな。彼女にブラウザを布教するのではなく 相互のコミュニケーションの入口として） あくまで「入口」なので、インストールに過大な負担を伴うCUI用、音声出力のブラウザは避けたい。 できればプリインストール、入ってなくてもGUIインストーラ付きのブラウザにとどめたい。 あと、いくらブラウザ的に基礎といっても古びを感じすぎるものは
Ruby言語は、その記述性の高さなどから注目を集め、特にWebアプリケーション構築の現場などで広く用いられるようになりつつあります。しかし、その一方で確定した言語仕様書が存在しないことはRubyに係る調達仕様書作成に支障を来す場合があるだけでなく、Rubyに関する人材育成の面や長期的な安定運用を必要とする情報システム分野への応用、Ruby処理系等への大規模な開発投資などに対する障壁となる場合があります。 そこで、Rubyの言語仕様書を検討し、国際標準化を図ることにより、Rubyをだれもが安心して調達や人材育成に活用できる環境を構築することを目指します。 Rubyはオープンソースとして開発されており、既に多くの開発者が参加するコミュニティが形成されています。このような体制によるRubyの改良・進歩の障害とならないよう十分に配慮した標準仕様の要件について検討し、それに基づいた標準仕様の草
UPDATE Mozillaは米国時間8月22日、「Firefox」の次期バージョン「Firefox 3.1」について、JavaScriptで書かれたプログラムの実行速度を大幅に高める「TraceMonkey」と呼ばれる機能を統合することで、「Gmail」などさまざまなウェブベースのアプリケーションをより高速に実行できるようになると述べた。 JavaScriptは、ウェブページに見栄えのする効果や柔軟性を加える目的で長年にわたり非常に広く使われてきたが、近年ではリッチインターネットアプリケーションにとって配管の役割も担うようになってきた。だが、JavaScriptはパフォーマンスの低さが足かせになっていたため、ウェブベースのアプリケーションがPC上で直接動く「ネイティブな」ソフトウェアと同程度に敏感に動作するのは困難な場合が多かった。そのため、Webアプリケーションを作るプログラマーたちは
※「増田さん」というのは人物名ではなく「はてな匿名ダイアリーの俗称。また、それを利用する人たちのこと。」です。 ネタだとしてもマジレスします。 ■ 憂鬱だ こっちが憂鬱だ。あほか。こんな人がいつか子の親になってしまう可能性があることを考えただけでも憂鬱。 上記エントリーを全文読んでもらえば分かると思いますが*1、内容は増田さん*2が彼女のご両親に結婚のご挨拶（許可？）をしに行ったけど断られたというお話です。*3 あー、もう今日は毒吐きまくります。だって久しぶりに激怒したんやもん。 吐きそう。緊張が頂点。密かにポケットに入れてきたウイスキーを少し飲む。 でも駄目だ。全く酔わない。 この時点で私なら別れるな。酒に頼るなよ。みんなそうなの、最初は「少しだけ。緊張したときだけ。不安なときだけ。ちょっとだけ・・・」そう言ってるうちにアルコール中毒になるんだよ。お酒が体からぬけなくなって、常にお酒の臭
id:amachangさんからパソコンをいただきました。 実は僕自分のパソコンってやつをもってなくて（家族共有でノート1台） その事をid:amachangさんにキャンプで言ったら、 id:amachangさんが自分が前つかっててもうつかってないパソコンがあるからそれをあげるよと言ってノートパソコンをいただきました！ 頂いたパソコンはhpのCompaq nx6110ってやつで、中にUbuntuがはいってました！ id:amachangさん本当にありがとうございます！あと会社の仕事で忙しい中呼び出してすいませんでした。。； 頂いたパソコンは大切に使います！id:amachangさん本当にありがとうございました！
弊社の待遇は給料以外はGoogle並の待遇だ。 「20%ルール」なんて関係なしで、仕事さえやってりゃ何もグダグダ言わない。てーか、事務所がマトモじゃないから、「仕事は家でやって来てね」ってことで、いろいろ管理のしようがないからなんだけど。まぁ事務所が出来ても、その辺のことはあまり変える気はない。なんでもアリのフリーダム。要は仕事出来りゃいいんだよ。 それはいいんだが、社員が昼までに出勤した日には(しない日もあるのだ)、昼飯は食わせるようにしている。この辺もGoogle並でしょｗ 問題はこの飯だ。 今のところ、この「昼飯」はみんな私の自腹だ。給料あまり出してないから、せめて会社に出て来て飯くらいは食えるようにしておこうと思って、あまり深く考えないで昼飯はおごるということに決めた。まぁ今のところ人数が少ないから別に大した問題じゃない。会社で飯を食えるってのは、面倒なことを1つ考えないで済むとい
北京オリンピックで熱かったこの夏、私は貴重な経験をさせていただきました。 10年以上前に骨髄バンクにドナー登録していたのですが、このたび同じ白血球の型をもった患者さんがおられることがわかり、骨髄移植のドナーとして手術を受けてきました。 手術を受けるにあたり、数多くの先輩ドナーさんの体験記に励まされましたので、私も簡単ですが体験記を残します。 手術当日までの手続きは、おそらくほとんど同じですので、いきなり手術の日から書きます。 ●手術当日 私なりにベストを尽くそうと、手術の一週間前から健康状態に気を配ってきたので体調は万全です。 相当いい骨髄が採れるはずです。 病院には前日から入院していたのですが、とてもよい環境で、気持ちよく手術の日を迎えることができました。 手術当日は、朝７時に起きて、準備をして、９時に手術室に入りました。 ベッドに仰向けになって横たわると、体の状態を測る機械や酸素マスク
こんにちはこんにちは ! ! はまちや2です！ 今日からぼくと一緒にWebプログラミングのセキュリティについて、ちょっぴり勉強してみませんか！今回はHTTPがどんなやりとりをしているのか、簡単におさらいしてみましょう！
Useful Links Forums LLVM Discourse Mailing Lists: Commits List Discord (Real-time Chat): Discord IRC Channel: irc.oftc.net #llvm Calendar: LLVM Community Calendar Dev. Resources: doxygen Sources (GitHub) Code Review Blog Bug tracker Buildbot Green Dragon LNT Scan-build llvm-cov Compile-time tracker Release Emails 18.1.8: Jun 2024 18.1.7: Jun 2024 18.1.6: May 2024 18.1.5: May 2024 18.1.4: Apr 2024
【業務連絡】 ここの運営方針は、私との職務関係を示唆する投稿内容を原則として削除するというものです。私との職務関係が無い他大学の方であれば、大学名や立場が分かる状況での投稿は差し支え有りません。 ここの管理者は、apj@水商売ウォッチングの中の人、です。引用部分を除く著作権及び内容についての法的責任はapj個人にあります。 広い意味での研究・教育活動の一環として運営しています。一応学外なので、以前のblogよりは雑談の割合が高くなる見込みです。 apj_yamagataを名乗る私の偽者が出没していますが、こいつは「ふま」「比ヤング」という有名な荒らしで、私とは全く無関係です。ご注意ください。「ふま」っぽい投稿は削除します。また、他人のハンドル詐称を平気でやるので、他所様のblogや掲示板でapjを騙っている可能性もあります。 ○研究室のサイト ○冨永研究室びじたー案内（水商売ウォッチ
まあ結構勘違いされてる人もいるかと思いますが、一緒にお風呂に入る程度に僕らは交流がありますよ！ていうか、僕は毎回合宿最終日に風邪ひいてないか？！id:nyaxtが八百長とか書いてましたが、僕が西尾君にケンカを売ってるとか思ってた人は真に残念ですね。気持ち悪いエントリーを投稿しまくるくらい尊敬しています。今日から数日間、嫁の実家に行って来ます。 センスピを成功させるために各々の層に得することと払うコストを明確化させよう主催者id:nishiohirokazuid:amachang他にも何人か名前の売れたギークを入れておくと良いと思う。利益自分たちの素晴らしいミームが世界に伝えられる。もしかしたら面白い人に会えるかもしれない。コスト広告塔になる。人を集める。 共催企業主催者の友達とかが経営してる企業社会人に名刺交換発表者全体に賞品獲得参加者全体に場所確保という利益がある。利益新人材獲得のチャン
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
