HsbtDiary

■ CVE-2026-80212 と CVE-2026-80213 を公開した

resolv の脆弱性2つが報告されて脆弱性として扱うことにしたので CVE-2026-80212 と CVE-2026-80213 として公開した。

https://www.ruby-lang.org/en/news/2026/08/27/multiple-vulnerabilities-in-resolv/

これ、最初は GHSA 経由で CVE の ID アサインを依頼していたけど、1ヶ月くらい反応がなくてダメだこれ、と MITRE に切り替えたら2-3日で発行されてなんだよ、となったのだった。当初の予定では 7月中にやる予定だったのになあ。

あと、今回は claude をフル活用して脆弱性の対応をしたのでだいぶ楽ではあった。調査の過程で「こういうケースは大丈夫なの?」とかやっていたセッションをコンパクトにプロンプトにしたら便利なのでは、と思い日本語の調査用プロンプトを作ってみた。

https://gist.github.com/hsbt/002e6b33cf173870d581cc62ea1b1cd4

数人からこれは便利という反応をもらっていい感じなので、次回以降もベストエフォートでやるかもしれない。

■ ステーションギャラリーを巡回

7-8月はあちこち行っていたこともあり、気がついたらステーションギャラリーの展示が週末で終わってしまうという状態だったので夕方の手前で切り上げて東京駅へ。本当に人が多い。

ステーションギャラリーの展覧会はどれも渋い感じのもので好みなのだけど、今回も「全く知らない...」という人でよかった。他の画家との交流のところを見てると知ってる名前もちらほらでてきたので、こういうのがつながって知識となるのだろう、たぶん。

ステーションギャアリーの後は東京駅をぶらぶらと散策してお菓子やらケーキやらを買って帰ってきた。大きくは変わったとこところはないように思うけど、どこに行っても人がすごいねえ。なんでこれに並ぶの、見たいのもたくさんあって興味深い。

■ Ruby Hackathon at RWC 2026 をやります

今年も RWC 2026 の前日に OSS ラボを借りてハッカソンをやります。

https://rubyassociation.doorkeeper.jp/events/198508

12月のリリース前なのでやり残し洗い出しなどを中心に、これは 4.2 に回そう、とか 4.1.1 で直す...とかをやってると思います。

■ 横浜の国際園芸博覧会のチケットをふるさと納税で申し込んだ

ふるさと納税を眺めていたら来年横浜で開催される国際園芸博覧会のチケットを返礼品として出している、というのを見たので2人分申し込んだ。

https://furusato-yokohama.jp/expo2027

ふるさと納税じゃないにせよ1回は行くと思うので少しでもお得な方ということで。園芸博覧会、企業販売が中心ではあるものの既に200万枚売れてるらしく、192日間で1日1万人は確定してるということっぽい。体感的に2万を超えると、混んでるなーとなって5万は大阪万博並でやばい、って学びなんだよなー。

■ dotfile 管理を mise bootstrap によせた

mise bootstrap というコマンドがあり、このコマンドでは macOS の launch agent の管理もできるということで自前でやっていた launch agent の登録/解除スクリプトをやめて mise bootstrap によせることにした。

https://mise.jdx.dev/bootstrap.html

ついでに dotfile も全部 mise bootstrap でいいや、となってあれこれ引っ越ししてたけど、Git 上の管理も .foorc みたいな形式じゃないとダメっぽく、ローカルで dotfile を無視するツールでだるい...となったので symlink 形式でお茶を濁すことにした。気が向いたら全部置き換えるかもしれない。

■ RubyGems/Bundler に credential store を自由に選べる機能を入れた

heroku cli が netrc ではなく、OS ごとに標準搭載されている credential store に API token を保存する、という機能を最近入れていて「これだよこれ」となったので RubyGems/Bundler にも入れた。

https://github.com/ruby/rubygems/pull/9671

4.0.x 系にはバックポートして出さないけど、4.1.0 に入れるつもり。これで今まで ~/.gem/credentials みたいなファイルに平文で突っ込まれている API key が macOS なら keychain などに格納されるので ~ から収集するような何かに対しても堅牢にはなる。とはいえ、~ を収集された時点で終わりとは思うが、RubyGems のアカウントに対する保護は強化されると言うことで。

で、この機能を作るにあたって設計したのが、1password などもバックエンドに使えるようにした、と言うあたり。さらに AWS CodeArtifact など組織ごとに使ってる何かの credential も簡単に作れるようにしてるので、会社のマシンの keychain には入れたくないよう、と言う人もなんとかできるはず。

大変便利だと思うので期待して待ってください。

■ homebrew から mise にできるだけ引っ越し

それほど頻繁にバージョンのツールを切り替えるのは自分ではやらないけど、claude にぶん投げるていると java やら terraform でバージョンを切り替えて、ということをやるのを見たのでそれならと homebrew ではなく mise に全部置き換えた。

で、claude の shell は mise によって提供される tool の path 何ぞ知らないので mise-path-hook.sh と言うのを作って、これによって mise によってインストールされている tool を PATH に突っ込むようにして、claude にはこれを pre hook でよべ、と言うことにして解決した。

この辺、シェル経由で呼べばシェルのものを引き継ぐのだろうけど、アップデートで再起動、とかした後に「何も見つかりません」みたいなことを言い出して本当にもう...ってなったので、シェルから呼ばなくても自分の理想環境になるように徹底的に設定したのだった。本当にやめたい。