K.Matsudo

Server/Linux/Network/Enginner @TOKYO @OKINAWA

[K.Matsudo @kterm]

杉並マンションエントランスで若いスネークを見かけた。🐍ブーム来てる。

[K.Matsudo @kterm]

新宿中央公園で巻き巻きしてるスネーク見かけた。

[K.Matsudo @kterm]

PHPのsoapモジュールのRCE対策が終わったと思ったら、同日でnpmのサプライチェーン攻撃再来か。先月末のLinuxKernelの件からこうも連続で続くと辛いなぁ。

[K.Matsudo @kterm]

https://t.co/8OHG45QDWf の1と2はesp、3はrxrpcへの攻撃でそれぞれ独立している。rxrpcがなければ大丈夫みたいな話を見受けられるからちょっと危険。rxrpcが存在しないAlmaLinux9/10で普通にroot取れますよ。

[K.Matsudo @kterm]

Dirty Fragの脆弱性、これ少々ミスリード気味なのかな。"Chaining the two variants"と書いてあるので、esp & rxrpcが攻撃要件のように読み取ってしまうけど、そうではなくて、esp || rxrpcであって、rxrpcはUbuntuやAmazonLinux2くらいしか入ってないけど、殆どに含まれるesp4/esp6だけでもダメみたい

[K.Matsudo @kterm]

@shimarin RedHat系の回避はこれでいけるみたいですよ。ただ、GRUB修正して再起動が必要なのは辛いですよね。コンソールから復旧出来るサーバじゃないとやりたくないです…。
https://t.co/KXbB5R2NCL

[K.Matsudo @kterm]

@shimarin 早速の記事への追記ありがとうございます！

[K.Matsudo @kterm]

先日、オーテクのサイト見てたら、サウンドバーガーのSHARKモデル、しかもサメで有名な気仙沼コラボ、のニュースを見つけたので、即買い。レコード1枚も持ってないから、聞きたいレコードを探さないと…(本末転倒)。https://t.co/RgB644jf96

[K.Matsudo @kterm]

最近のPAUL&SHARKはサメロゴも付いてない商品も多くなってダメダメだけど、このバッグはちゃんサメロゴあって、程よいデザインで往年感のサメブラ感ある。

[K.Matsudo @kterm]

久しぶりにサメ活としてYOOX覗いたら、サメブラ(PAUL&SHARK)のトートバック見つけたので、即買い。https://t.co/MKD3dsRQAP

[K.Matsudo @kterm]

令和においてAmazonLinuxの採用メリットってほぼない。AWSとの親和性？くらい？。長期保守視点もなく、そもそも旧AL2からAL2023へのインプレースアップグレードすら提供できなかったサーバ用ディストリを推す理由はない。RHEL(派生)かUbuntuを採用するのが全然良いんじゃないかなと思う。

[K.Matsudo @kterm]

RHELも話題になっているけど、WordPressを長期安定運用したいのであれば、RHELよりもCloudLinuxがお勧め。レンサバ用OSで面白機能が沢山あるけど、WPが主戦場だからPHPの独自サポートに気合入りすぎてる。https://t.co/QCwaTDFw6G

[K.Matsudo @kterm]

WordPressは意外とPHPの後方互換性を維持してくれるので、RHEL10のPHP8.3(10年サポート)で、マイナーバージョンアップのみで、10年間最新のWPが動き続ける可能性がある。AmazonLinuxはAL2023から実質ミドルウェア独自サポートを諦めており、最長3年毎にメジャーバージョンアップを求められる。

[K.Matsudo @kterm]

PostgreSQLとLinux7が話題になっているけど、PostgreSQLってDBの基本となるメモリチューニングすら昔からLinuxべったりなんですよね。shared_bufferよりもLinux Page Cacheに多めに割り当てろって20年前から言われてたけどまだそうなんだ…。https://t.co/fPHrxl57Bs

[K.Matsudo @kterm]

@shimarin 先日久しぶりのAlmaLinux9標準のApache2.4を設定したんですが、令和のApacheはpreforkの影もなく、eventになっておりました(PHPはphp-fpm標準でmod_phpは影もなく)。流石にPostgreSQLさんのプロセスモデルだからスピンロックは甘えだと思います…。

[K.Matsudo @kterm]

https://t.co/B0m6hBeWCx
これだったかな。自分は「衝突した場合の対応を考慮しない」って考え自体が理解できなかったし、実際問題が発生してたから、普通に「考慮する」実装に直させたなぁ。

[K.Matsudo @kterm]

この「衝突した場合の対応が考慮されていない」Flutterアプリが、dartのuuidモジュール(厳密には乱数生成)のバグで高頻度で衝突して痛い目にあったりとかね…。まあ、一意識別子としてUUIDを使う場合、大体は重複チェックやユニーク制約自体を外せるような箇所じゃないよね。

[魔法少女くにゅくにゅ a.k.a. 椚座 淳介 @kunukunu]

設計レビューで「UUIDが衝突した場合の対応が考慮されていない」みたいなことで詰められた経験がある人いませんか