0103tomita

業務要件を、AWSアーキテクチャ、DB設計、運用設計へ落とし込む人 | React/Python/PostgreSQL /AWS:SAP-C02 | 54歳 | INTJ-TS | 休日は🏯⛩️ | 経歴:製造業BtoB営業→IT資産管理・サービスデスクの工程設計、運用→Webシステム開発 |強み:業務整理

[0103tomita @T460904]

とある予約システムを企画、設計、プロトタイプを作成してるうちに、気付いたらいつの間にか管理側機能の比重がTOCベースの業務能力・ボトルネック管理システム寄りになってきた。

元々企画でははそんな大層なものではなかったが…面白い。

[0103tomita @T460904]

ユーザーMTGうまく行った。
来週プレゼンの席を設けていただけました🙂

[0103tomita @T460904]

今週はAMのみ在宅勤務が多い週です。計画的に進めなくては。MTG多め、でも次の仕事の布石ですのでこちらも大事。

[0103tomita @T460904]

生酒と相性の良いチーズを探しに行ってきます🧀

やっぱり燻製は外せないでしょう…。

[0103tomita @T460904]

休日の過ごし方変化と気分転換で模様替え。
Codexがレート制限になったので🚫

[0103tomita @T460904]

いかんね。休日の過ごし方に変化がない😅
気づけば一日中💻向かってた。

[0103tomita @T460904]

今度の開発案件はLIFF使うのでPoC準備。

[0103tomita @T460904]

1年前に比べて開発楽になったし、講習の題材の準備も、仕様書作成もAI任せても悪くない出来ですね。

なんかそのせいで自分の担当範囲が良くも悪くも広がってますが。

[0103tomita @T460904]

仕事の内容は毎日変化に富んでいるのだが、プライベートは平穏なせいか1週間、1か月が過ぎるの早い。もう今年も折り返し間近。

今年も夏越の祓にまいります。

[0103tomita @T460904]

なんか私が半年前PoC終えてた機能のリポジトリ見たけどすっかり記憶から消えてて振り返りから再スタート。

[0103tomita @T460904]

やることないので📚💻

[0103tomita @T460904]

天気が良くない日が続いてるので寝起きなのにスッキリしないです。

[0103tomita @T460904]

MyS×××bankのUI/UX。あれは最悪に分かりにくい。

[0103tomita @T460904]

「初回デプロイ時の鶏卵問題」と言うやつを修正中。

[0103tomita @T460904]

今日の仕事終わり。
ローカル開発環境準備🆗

[0103tomita @T460904]

CDKとSAMは楽しいな〜と☺️

[0103tomita @T460904]

6月初日。
今日は職場全員は久々に揃いました。

ホッとしてます。

[0103tomita @T460904]

仕事仕事。
明日から仕事。

台風直撃っぽいからその日の出社全員取りやめにしたいな。

[0103tomita @T460904]

CSVから未信頼データが保存される
↓
後から別ユーザー・管理者の画面に表示される
↓
その表示処理がHTML/JS/URL/CSSとして解釈する
↓
ログイン済みユーザーのブラウザで攻撃コードが動く

Stored XSSのハンズオン作りたいなあ。

[yousukezan @yousukezan]

Visual Studio Codeの「Remote-SSH」拡張機能に、侵害済み開発者端末からクラウドや本番環境へ横展開できる危険な問題が見つかった。MFAを導入していても防げない。

問題はRemote-SSH接続時の初期化処理にある。VS Codeは接続用シェルスクリプトをローカルの一時ディレクトリへ生成し、そのままリモートサーバーへ転送・実行する。しかしスクリプトの整合性検証や署名確認が行われておらず、攻撃者は生成直後に内容を書き換えられる。

開発者端末が既にマルウェア感染していた場合、攻撃者は改ざんしたスクリプトをAWS EC2、Azure VM、オンプレミスサーバーなど接続先で実行可能となる。認証後に発動するため、多要素認証（MFA）を回避する必要もない。

研究者はAzure、AWS、ローカルサーバー環境で攻撃成立を確認している。影響範囲はRemote-SSHを含む関連拡張機能全体で7,600万件以上のインストールに及ぶという。

Microsoftは報告を受けたものの、製品設計上の動作として扱っており修正予定は示していない。研究者は信頼できない端末でのRemote-SSH利用を避け、開発環境の分離や一時ディレクトリ監視を推奨している。
https://t.co/VMyGZzRmoW