神楽坂しえる @Clworld@md.ggtea.org

猫垢
猫インスタンス

Struts2さんまたOGNLで脆弱性出してるの…。

Firefoxで見ると変な待たされ方はしないのでChromeが悪いのか…?(DOM操作系?)

そろそろ行けるでしょ感はけっこう前からもってる<deb系

Timelineを遡る時に意外と待たされる感がかなり前からあって、キャッシュに載ってないから時間かかってるのかなって私は思っていたんですけど、Chromeのデベロッパーツール的にはXHRのAPIリクエストにかかってるのは400ms程度でこんなに待たされる筈はないので一体私は何に待たされているのかになっている…(React?)

詳しい人誰か: master追従してdoorkeeperが更新された時にbundle installでrakeタスク回せってログ出ますけどMastodon的に要rake実行です?

各位: 一番いいImageMagick設定ファイルを頼む

家鯖の差分だと、こんなかんじになっている<ImageMagick
https://gist.github.com/clworld/8d4a21b9dc60d74f91828eac28df8dc0

@cobodo@mstdn.kanagu.info 厳密にどうなるかは把握してないんですけど、すくなくとも前にしごとで対応したときは拡張子での制限とidentifyでの判断は対策にならないという話が来ていました。

すくなくともおしごとだとidentifyが既にまずいという話が来て Ruby側でマジックバイトチェックする破目になった…。

@cobodo@mstdn.kanagu.info たとえばpngという拡張子でpdfを上げた時にImageMagickがまずidentifyしようとしてこれpdfだな ってなって死ぬ

ImageMagick経由でGhostscriptに行ってMastodonでも影響受けるやつです(さっきの)

t3!?

ImageMagickの脆弱性 画像の種類をImageMagickで調べようとする時点で危険なので別の方法で調べる必要があるみたいな話があるのが詰んでる

最近インスタンス立てた人、ImageMagickのpolicy.xmlにPSとかEPSとかPDFを処理しない設定入れておこうね(Ghostscript脆弱性が)