浦安在住お酒とコツメを愛するお料理男子IT系メガネです。USJ(ショーメイン)/アカペラ(聞)/大道芸(観)/糠床などにハマってます。サーバー管理やAWSのあれこれ、DB設計とtypescriptを少々嗜んでいます。気軽に話しかけてください🙇♂️
千葉県浦安市
Joined September 2009
- Tweets18.6K
- Following1.2K
- Followers830
- Likes10.9K
BASIC 認証とか接続元IP制限など
ソースに到達する前に制限をかけないで使ってる人がいるのが驚きなんだけど💦
🚨 BREAKING: A serious security flaw has been exposed in phpMyAdmin, potentially allowing attackers to BYPASS two-factor authentication and gain access to entire databases.
Security researcher Abraxas Labs has published a proof of concept demonstrating a HIGH-severity vulnerability in phpMyAdmin 5.2.3, rated 8.1/10 by the researcher.
The problem? The affected WebAuthn authentication system checks almost everything EXCEPT the cryptographic signature proving the user actually possesses their security key.
Here’s what’s happening:
→ An attacker obtains a valid MySQL username and password.
→ phpMyAdmin requests a second authentication factor, normally a hardware security key or passkey.
→ The vulnerable code accepts a specially constructed authentication response without verifying its cryptographic signature.
→ The attacker bypasses 2FA and gains database access with the compromised user’s privileges.
→ Sensitive records could be stolen, altered, or deleted.
⚠️ The worst part? This defeats the exact protection two-factor authentication is supposed to provide when passwords are compromised.
The vulnerability affects installations using phpMyAdmin’s fallback WebAuthn implementation, including the configuration identified in the default 5.2.3 distribution.
As of October 27, no CVE or corresponding vendor security advisory was found.
Website owners and administrators should review their phpMyAdmin installations, restrict public access, and ensure WebAuthn signatures are properly verified.
🔒 Not sure whether your infrastructure is vulnerable? We’re offering FREE security reviews at lucidsecurity.si
🔗 Research and proof of concept:
github.com/abraxas/PMA-5.2.3…
本件の猫とは関係ないですが、身近な知人がちょっと噛まれただけで数日入院して腕切るかどうかなとこまで追い込まれてるので「素人考えに傷が浅い」と判断するのはどうかな？とおもっています
本件については当事者間で話し合う内容かと思いますが第三者が思ってるよりは深刻な内容かな？と考えています
なんだろ…とりあえず色々調べて1店舗は行ってみたけど、不味くは無いけどまともに具材入れると、(人気店のほとんどは)2000円前後かかるし、満足度を考えたら平日ランチでしゃぶ葉を食べる方が満足度が高いのではないか？と思ってしまうのが男性には不人気なのかなぁ？
美味しい(不味くは無い)んだけどねぇ
女性「麻辣湯ってなんで男性に人気ないの？」→男性陣の回答がこちら ift.tt/Nl1k7AP
しん/まこと retweeted
PHP脆弱性“PoCフライング公開”の経緯、支援財団が公表 混乱広げた企業を名指しで批判
itmedia.co.jp/news/article/2…
AWS WAFは先頭から⚪︎KBしか検査しないの辞めないと昨今の攻撃全然防御出来てないのでは🥺
めちゃ的確にポイントを抑えた検証記事
『PHP2Shell が検査するのはボディの先頭 8 KB まで』
これだとたぶん防御にならないです…
dev.classmethod.jp/articles/…
PHPの脆弱性の件以下で軽減は可能なのでOSからパッケージが提供されるまでは設定しておいた方が良さそう。
ini_set等で上書き出来ない方法で以下の設定をしてphp-fpmやapacheに再起動(設定を読み込み直させる)
・memory_limit=-1
・upload_max_filesize=1ファイルの最大
・post_max_size=1 upload_max_filesize x同時にアップされるファイル数+同時に送信される他の情報＋(base64されたりヘッダーが入ったりするので)気持ち余裕
・session.upload_progress.enabled=0
memory_limit=-1はRCEされるくらいならOOM Killerに殺されるかハングした方がマシみたいな呪文では💦
22:55で落ちたんだけど笑
【緊急メンテナンスのお知らせ】
Chatworkでは、PHPの重大な脆弱性への予防的な対策のため、本日10月21日(水)23:00より緊急メンテナンスを実施いたします。
メンテナンス中はChatworkをご利用いただけません。 終了時刻は未定ですが、判明し次第、お知らせいたします。急なお知らせとなり、ご利用の皆さまにはご不便をおかけします。何卒ご理解いただきますよう、よろしくお願いいたします。
help.chatwork.com/hc/ja/arti…
