HsbtDiary

■ rubygems.org の legacy key の leak 問題

今日、security advisory が公開された。

https://blog.rubygems.org/2026/07/22/security-advisory-legacy-api-key-leak.html

内容を読めばわかるけど、legacy key という昔の all scope キーが Rails および CDN の設定不備で一定条件で漏れていた、という内容になる。すでに全ての legacy key は revoke され、GET だけでキーを作れる歴史的経緯で残ってるエンドポイントも塞いだ。

• もし影響を受けていたらキーを作り直す
• CI/CD 等で GET だけでキーを作って何かをするような処理をしているのなら OIDC に移行する

という2点が利用者にとってのアクションアイテムになるので、対象になる人は対応をお願いします。

自分は直接的な作業は行ってないけど、方針であるとかアナウンスなどについては把握してレビューコメントをするなどしていた。自分でやった方が早いんだけど、みたいなものもありつつ、レビューというのも求められる仕事ではある。お疲れ様でした。

■ CVE-2024-47220 と CVE-2026-38969 を reject させた

Webrick という開発向けに簡易 Web サーバーを立ち上げるライブラリがある。あくまでも 簡易、なので実際の Web サーバーによくある crlf の処理などがざっくりしていて使い方によっては client に攻撃できるよ、というやつに対して、勝手に CVE を申請する者がいて実際に受理されてしまうことがあった。

具体的には CVE-2024-47220 と CVE-2026-38969 なのだが、これが受理されて発行されると dependency に webrick を入れている gem は vulnerable としてマークされ、dependabot であるとか scan で alert がでて本当に迷惑なことになる。

なんか問題があるなら CVE を発行すべきとかグダグダ言ってる人もいるけど、メンテナが脆弱性じゃない、と判断したら脆弱性じゃないし、CVE というのはアップデートせよ、という警告の意味もあり、webrick を使ってて CVE によってプロダクトが危険!と思うなら、webrick を使ってる方がはるかに危険なので今すぐ puma などに置き換えろとしか思わない。根本的に優先順位がおかしい。

というわけで MITRE に対して reject の申請をして2件とも reject された。今までは reject のメール書くのだるい...となっていたけど、claude に chrome の権限を渡して、こういう要請を書いて、と壁打ちしてから送信させれば事足りるので便利になったと思う。