プログラミングをするパンダ

SWE。EC作ってます。デザイン刷新PJは1年かけて無事終わりました。TOEIC 925, 中国語検定2級, 旅行好き（海外11カ国、中国10回以上）. ロードスターに乗ってます
Tech Blog →

[プログラミングをするパンダ @Panda_Program]

技術書典で「成功する開発チームの作りかた」という書籍を頒布します！

チームメンバーがスキルを100%発揮できるチーム環境の作り方について、信頼関係と対話を軸に解説していきます。チーム力を伸ばしたいと考えていると考えている方はぜひ！
#技術書典18

[プログラミングをするパンダ @Panda_Program]

今週はどこかで徹夜しないといけないかも。毎年1日だけは徹夜の日がある（去年は技術書典の締切前日）

[プログラミングをするパンダ @Panda_Program]

リリース前に lightsail で bitnami のサポート切れますって来たのでマジかよ...って思いながらamazon linuxでアプリ動く環境作ってるけど、これAIなかったらもっと移行遅れてただろうなあ

[プログラミングをするパンダ @Panda_Program]

これいいなあ
https://t.co/3MOu3PVCl8

[プログラミングをするパンダ @Panda_Program]

来年の新卒がコードを追うときに、ベテランが手で書いてた過去のコードを見て「AIが書いたコードみたいに綺麗ですね！」って言ってベテランが辟易するのが見える

[プログラミングをするパンダ @Panda_Program]

Valkey って見ると「筋肉を触らせてよ♪」というフレーズを思い出してしまう

[プログラミングをするパンダ @Panda_Program]

Mythosを超えるモデルの名前はLogosだと予想

[プログラミングをするパンダ @Panda_Program]

Claude Code じゃなくて「どのターミナルを使うと最善か論争」にハマるのを避けたくて、Claude Code用の自分専用アプリ作ってたら、公式が完全上位互換のアプリを出してきたから「これだ！」ってすぐに自作の捨てて以来ずっとデスクトップアプリ使ってる自分は少数派だったんだなあ

[Oikon @oikon48]

Claude Code と Codex のインターフェース使用率

興味深い👀

[プログラミングをするパンダ @Panda_Program]

知るものは言わず、言うものは知らず

[プログラミングをするパンダ @Panda_Program]

ポジポジっ

[プログラミングをするパンダ @Panda_Program]

この件、家族間の関係や過去のことより、AIとの適切な付き合い方を模索するっていう視点で昼のワイドショーでは取り上げて欲しいんだよな

[プログラミングをするパンダ @Panda_Program]

ベイスターズが打ててないってより、オリックスの守りが固い

[プログラミングをするパンダ @Panda_Program]

人柄のいいビシエド退団。何かあると疑ってしまうよなあ。今年は代打でホームラン打ってから復調してたから残念。スタメンで出たかったのかな

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

この種の手口としては過去最大級と見られるサプライチェーン攻撃が報告されています。正規の公式リポジトリ側のソースコードには手を加えず、攻撃者が用意した別フォーク経由で、PHPのパッケージ配布サイトPackagistから配布される正規バージョンに情報窃取マルウェアを忍び込ませる巧妙な手口です。GitHubの仕様では、正規の公式リポジトリで発行したバージョンタグがそのリポジトリのフォーク上のコミットを指すこともできます。
攻撃者は、何らかの形で正規の公式リポジトリ側のタグ発行権限を取得したうえで、自分が用意した別フォークに悪意あるコードを仕込み、その公式リポジトリ側でそのコミットを指すバージョンタグだけを発行。

Packagistはこのタグを正規リリースとして自動的に取り込み、タグが指す攻撃者のフォーク内コミットを正規バージョンの中身として配信。

正規の公式リポジトリには痕跡が一切残らないまま、利用者がComposerで正規パッケージをインストールするだけで、攻撃者の不正コードが手元まで届いてしまいます。

標的はPHPの多言語化ライブラリLaravel-Lang(GitHub上で7,800超のスター)で、laravel-lang/langを含む4パッケージで計700超の過去バージョンが汚染されています。

不正なタグは5月22〜23日(UTC)に短時間で集中的に発行され、Packagistはこれらを速やかに取り下げています。

【要点の整理】

・手口は業界で「Imposter Commit / Imposter Tag」(なりすましコミット/タグ)と呼ばれる既知のパターン。GitHubがフォークと元リポジトリの間でGitデータを共有する仕様を悪用するもので、2023年にChainguardが警告していたもの。GitHub Actions関連では過去にtj-actions/changed-filesやreviewdog、本件の4日前の5月18〜19日にもactions-cool/issues-helper(53タグが書き換えられた)で同じ手口が確認されており、Composer/Packagistパッケージにこの規模で適用された事例はこれまで見当たらない

・攻撃者はLaravel-Lang組織のアカウント認証情報、GitHub Actionsなどのリポジトリ自動化設定、リリース基盤のいずれかに不正アクセスしていた可能性が高い(Socketの分析、短時間での大量タグ発行と、攻撃後にブランチが削除されている点が根拠)。外部からの単純な侵入というより、Laravel-Langのリリース体制そのものが乗っ取られていた疑い

・悪意あるsrc/helpers[.]phpがcomposer[.]jsonのautoload[.]filesに登録されているため、利用するアプリでPHPリクエストが来るたびに、Composerのオートローダー(自動読み込み機能)がこのファイルを毎回呼び出してしまう作り。攻撃者の指令サーバ(C2)ドメインflipboxstudio[.]infoは、文字コードの数値を並べた配列から実行時に組み立てる仕掛けで、コードを目で見ただけではドメイン文字列が見つからないよう難読化されている

・第2段階の本体コード(ペイロード)は約5,900行のPHP製情報窃取マルウェアで、十数種類の窃取機能をもつ。Kubernetesのサービスアカウントトークン、CI/CD認証情報(Jenkins、GitHub Actions、GitLab Runner等)、SSH秘密鍵、Chromium系ブラウザ各種とFirefoxの保存パスワード、パスワードマネージャー(1Password、Bitwarden、LastPass等)、暗号資産ウォレットまでを盗み出す対象

・Chrome v127以降のApp-Bound暗号化(ブラウザ外のプロセスから保存パスワードを取り出せないようにする仕組み)を回避するため、PHPコードにBase64でエンコードして埋め込んでおいた専用の実行ファイルをディスクに書き出して実行し、復号用の鍵を取り出すという手の込んだ仕掛けも含む。盗み出したデータは暗号化したうえで攻撃者のサーバに送信、最後はマルウェア自身もファイルを削除して痕跡を消す

・対象パッケージはLaravel本体ではなく、サードパーティの多言語化ライブラリ

該当パッケージを利用している環境では、composer[.]lockに侵害バージョンが含まれていないかの早急な確認と、クラウドやCI/CD向け認証情報を中心とした幅広い認証情報の入れ替え(ローテーション)が推奨されます。
Composer環境では、composer[.]lockをコード管理に含めて共有し、本番デプロイやCI/CDでは「composer update」ではなく「composer install」のみを使う運用にしておけば、タグ書き換え型攻撃の影響を最小化できます(composer[.]lockには各依存の正確なコミットSHAが自動記録されており、これがComposerにおける実質的なSHA固定の仕組み)。
逆に、攻撃時期に「composer update」を実行した環境では、composer[.]lockが侵害バージョンに更新されている可能性があるため、要監査。

詳細は以下を参照:
https://t.co/0S7pDCR4qm

[プログラミングをするパンダ @Panda_Program]

HTML で dialog 要素使ってみよっと

[プログラミングをするパンダ @Panda_Program]

なお本物

[プログラミングをするパンダ @Panda_Program]

JavaScript の 0.1 + 0.2 の計算結果か！
#ツッコミスター

[プログラミングをするパンダ @Panda_Program]

鷹さんでたくさん給料あげてもらってや。グラゼニや！

[プログラミングをするパンダ @Panda_Program]

横浜ファン、日ハムファンのワイ、祐大がハムの投手打ち崩しててとっても複雑な気持ち

[Seb ⚛️ ThisWeekInReact.com @sebastienlorber]

NPM users, how do you stay safe from compromised dependencies?

FYI: pnpm & release cooldowns are not the only way to protect you!

[プログラミングをするパンダ @Panda_Program]

この手の話は、それを実行するくらいの貯金がある人はごまんといるが、それを想像したり実行に移すためには倫理側の大きな壁があり、その壁を越えたからといって褒められたものではない（のでしないだけ）、と突き放していい

[プログラミングをするパンダ @Panda_Program]

某6人タワーの話は資本主義というより自由主義だろうな。他人に危害を加えない限り、自分が望むことをしてもいいという自由。動画見てないけど