HsbtDiary

■ 前日に雹が降ったからか酔芙蓉が開花した

昨日の夜に窓の外からバラバラバラ!と音がして何これとみたら雹が降り注いでいて、雷はなるわ暴風でいろんな鉢が倒れるわで「なんじゃこりゃー」となっていたのだけど、鉢が倒れただけで苗は無事でよかった。

で、早朝にとぼとぼ掃除するか、とベランダに出たらこんな時期というのに酔芙蓉が開花していた。秋とまではいかなくても8-9月くらいだと思っていたけど、こんな時期だったっけ...?

とりあえず、綺麗に咲いたのでよしとする。

■ CVE-2026-66066 の対応をしていた

昨日 Rails の脆弱性が公開され CVE-2026-66066 がアサインされたのだけど、この内容が libvips の untrusted なローダーをブロックするという内容で、普通の画像しか使わないっすということなら何も考えずにアップデートすればよかったのだが、PDF/SVG は使いたい、ということならちょっと大変で頭を抱えて考えていた。

https://github.com/rails/rails/security/advisories/GHSA-xr9x-r78c-5hrm

で、この話は Rails 単体の話でもなく、libvips には昔からある話で untrusted なローダーをふさぐというのは当たり前の話というのを初めて学んで、うーんうーんと頭を抱えていた。

何が難しいのかというと、CVE が発行されて Crtitical ということは、何かしらの untrusted なフォーマットで確実に Rails が攻撃されるわけで、とはいえ自分たちは SVG や PDF を扱いたくて、それらが exploit の対象の場合はどうすりゃいいんだ、というのを右往左往しながら考えていたところに Rails の方から公式に inspect するための agent skill が公開された。

https://github.com/rails/rails-forensics-CVE-2026-66066

agent skill と言っても中身はただの .md なので中に書いてある通り MATLAB 形式が今回の exploit のようなので SVG と PDF については libvips へ通すような設定をいれつつ、既知の CVE につては緩和できるような設定をするってことにした。

久しぶりに攻撃の成立条件などを頭抱えて考えたのでどっと疲れてしまった。