#脆弱性

FedifyのWebFinger実装における脆弱性CVE-2025-23221に対するセキュリティアップデート（1.0.14、1.1.11、1.2.11、1.3.4）をリリースいたしました。すべてのユーザー様におかれましては、お使いのバージョンに応じた最新版への速やかなアップデートを推奨いたします。

脆弱性の詳細

セキュリティ研究者により、FedifyのlookupWebFinger()関数において以下のセキュリティ上の問題が発見されました：

無限リダイレクトループによるサービス拒否攻撃（DoS）の可能性
プライベートネットワークアドレスへのリダイレクトを利用したSSRF（サーバーサイドリクエストフォージェリ）攻撃の可能性
リダイレクト操作による意図しないURLスキームへのアクセスの可能性

修正されたバージョン

1.3.xシリーズ：1.3.4へアップデート
1.2.xシリーズ：1.2.11へアップデート
1.1.xシリーズ：1.1.11へアップデート
1.0.xシリーズ：1.0.14へアップデート

変更内容

本セキュリティアップデートでは、以下の修正が実施されました：

無限リダイレクトループを防ぐため、最大リダイレクト回数（5回）の制限を導入
元のリクエストと同じスキーム（HTTP/HTTPS）のみにリダイレクトを制限
SSRFを防止するため、プライベートネットワークアドレスへのリダイレクトをブロック

アップデート方法

以下のコマンドで最新のセキュアバージョンにアップデートできます：

# npmユーザーの場合
npm update @fedify/fedify

# Denoユーザーの場合
deno add jsr:@fedify/fedify

この脆弱性を責任を持って報告していただいたセキュリティ研究者の方に感謝申し上げます。迅速な対応が可能となりました。

本脆弱性の詳細については、セキュリティ勧告をご参照ください。

ご質問やご懸念がございましたら、GitHub Discussions、Matrixチャットスペース、またはDiscordサーバーまでお気軽にご連絡ください。

#Fedify #WebFinger #セキュリティ #脆弱性 #DoS #SSRF

Fedify: an ActivityPub server framework

@fedify@hollo.social · Reply to Fedify: an ActivityPub server framework's post

脆弱性の詳細

セキュリティ研究者により、FedifyのlookupWebFinger()関数において以下のセキュリティ上の問題が発見されました：

無限リダイレクトループによるサービス拒否攻撃（DoS）の可能性
プライベートネットワークアドレスへのリダイレクトを利用したSSRF（サーバーサイドリクエストフォージェリ）攻撃の可能性
リダイレクト操作による意図しないURLスキームへのアクセスの可能性

修正されたバージョン

1.3.xシリーズ：1.3.4へアップデート
1.2.xシリーズ：1.2.11へアップデート
1.1.xシリーズ：1.1.11へアップデート
1.0.xシリーズ：1.0.14へアップデート

変更内容

本セキュリティアップデートでは、以下の修正が実施されました：

無限リダイレクトループを防ぐため、最大リダイレクト回数（5回）の制限を導入
元のリクエストと同じスキーム（HTTP/HTTPS）のみにリダイレクトを制限
SSRFを防止するため、プライベートネットワークアドレスへのリダイレクトをブロック

アップデート方法

以下のコマンドで最新のセキュアバージョンにアップデートできます：

# npmユーザーの場合
npm update @fedify/fedify

# Denoユーザーの場合
deno add jsr:@fedify/fedify

この脆弱性を責任を持って報告していただいたセキュリティ研究者の方に感謝申し上げます。迅速な対応が可能となりました。

本脆弱性の詳細については、セキュリティ勧告をご参照ください。

ご質問やご懸念がございましたら、GitHub Discussions、Matrixチャットスペース、またはDiscordサーバーまでお気軽にご連絡ください。

#Fedify #WebFinger #セキュリティ #脆弱性 #DoS #SSRF

Fedify: an ActivityPub server framework

@fedify@hollo.social · Reply to Fedify: an ActivityPub server framework's post

脆弱性の詳細

セキュリティ研究者により、FedifyのlookupWebFinger()関数において以下のセキュリティ上の問題が発見されました：

無限リダイレクトループによるサービス拒否攻撃（DoS）の可能性
プライベートネットワークアドレスへのリダイレクトを利用したSSRF（サーバーサイドリクエストフォージェリ）攻撃の可能性
リダイレクト操作による意図しないURLスキームへのアクセスの可能性

修正されたバージョン

1.3.xシリーズ：1.3.4へアップデート
1.2.xシリーズ：1.2.11へアップデート
1.1.xシリーズ：1.1.11へアップデート
1.0.xシリーズ：1.0.14へアップデート

変更内容

本セキュリティアップデートでは、以下の修正が実施されました：

無限リダイレクトループを防ぐため、最大リダイレクト回数（5回）の制限を導入
元のリクエストと同じスキーム（HTTP/HTTPS）のみにリダイレクトを制限
SSRFを防止するため、プライベートネットワークアドレスへのリダイレクトをブロック

アップデート方法

以下のコマンドで最新のセキュアバージョンにアップデートできます：

# npmユーザーの場合
npm update @fedify/fedify

# Denoユーザーの場合
deno add jsr:@fedify/fedify

この脆弱性を責任を持って報告していただいたセキュリティ研究者の方に感謝申し上げます。迅速な対応が可能となりました。

本脆弱性の詳細については、セキュリティ勧告をご参照ください。

ご質問やご懸念がございましたら、GitHub Discussions、Matrixチャットスペース、またはDiscordサーバーまでお気軽にご連絡ください。

#Fedify #WebFinger #セキュリティ #脆弱性 #DoS #SSRF

Fedify: an ActivityPub server framework

@fedify@hollo.social · Reply to Fedify: an ActivityPub server framework's post

脆弱性の詳細

セキュリティ研究者により、FedifyのlookupWebFinger()関数において以下のセキュリティ上の問題が発見されました：

無限リダイレクトループによるサービス拒否攻撃（DoS）の可能性
プライベートネットワークアドレスへのリダイレクトを利用したSSRF（サーバーサイドリクエストフォージェリ）攻撃の可能性
リダイレクト操作による意図しないURLスキームへのアクセスの可能性

修正されたバージョン

1.3.xシリーズ：1.3.4へアップデート
1.2.xシリーズ：1.2.11へアップデート
1.1.xシリーズ：1.1.11へアップデート
1.0.xシリーズ：1.0.14へアップデート

変更内容

本セキュリティアップデートでは、以下の修正が実施されました：

無限リダイレクトループを防ぐため、最大リダイレクト回数（5回）の制限を導入
元のリクエストと同じスキーム（HTTP/HTTPS）のみにリダイレクトを制限
SSRFを防止するため、プライベートネットワークアドレスへのリダイレクトをブロック

アップデート方法

以下のコマンドで最新のセキュアバージョンにアップデートできます：

# npmユーザーの場合
npm update @fedify/fedify

# Denoユーザーの場合
deno add jsr:@fedify/fedify

この脆弱性を責任を持って報告していただいたセキュリティ研究者の方に感謝申し上げます。迅速な対応が可能となりました。

本脆弱性の詳細については、セキュリティ勧告をご参照ください。

ご質問やご懸念がございましたら、GitHub Discussions、Matrixチャットスペース、またはDiscordサーバーまでお気軽にご連絡ください。

#Fedify #WebFinger #セキュリティ #脆弱性 #DoS #SSRF

Fedify: an ActivityPub server framework

@fedify@hollo.social · Reply to Fedify: an ActivityPub server framework's post

脆弱性の詳細

セキュリティ研究者により、FedifyのlookupWebFinger()関数において以下のセキュリティ上の問題が発見されました：

無限リダイレクトループによるサービス拒否攻撃（DoS）の可能性
プライベートネットワークアドレスへのリダイレクトを利用したSSRF（サーバーサイドリクエストフォージェリ）攻撃の可能性
リダイレクト操作による意図しないURLスキームへのアクセスの可能性

修正されたバージョン

1.3.xシリーズ：1.3.4へアップデート
1.2.xシリーズ：1.2.11へアップデート
1.1.xシリーズ：1.1.11へアップデート
1.0.xシリーズ：1.0.14へアップデート

変更内容

本セキュリティアップデートでは、以下の修正が実施されました：

無限リダイレクトループを防ぐため、最大リダイレクト回数（5回）の制限を導入
元のリクエストと同じスキーム（HTTP/HTTPS）のみにリダイレクトを制限
SSRFを防止するため、プライベートネットワークアドレスへのリダイレクトをブロック

アップデート方法

以下のコマンドで最新のセキュアバージョンにアップデートできます：

# npmユーザーの場合
npm update @fedify/fedify

# Denoユーザーの場合
deno add jsr:@fedify/fedify

この脆弱性を責任を持って報告していただいたセキュリティ研究者の方に感謝申し上げます。迅速な対応が可能となりました。

本脆弱性の詳細については、セキュリティ勧告をご参照ください。

ご質問やご懸念がございましたら、GitHub Discussions、Matrixチャットスペース、またはDiscordサーバーまでお気軽にご連絡ください。

#Fedify #WebFinger #セキュリティ #脆弱性 #DoS #SSRF

Fedify: an ActivityPub server framework

@fedify@hollo.social · Reply to Fedify: an ActivityPub server framework's post

脆弱性の詳細

セキュリティ研究者により、FedifyのlookupWebFinger()関数において以下のセキュリティ上の問題が発見されました：

無限リダイレクトループによるサービス拒否攻撃（DoS）の可能性
プライベートネットワークアドレスへのリダイレクトを利用したSSRF（サーバーサイドリクエストフォージェリ）攻撃の可能性
リダイレクト操作による意図しないURLスキームへのアクセスの可能性

修正されたバージョン

1.3.xシリーズ：1.3.4へアップデート
1.2.xシリーズ：1.2.11へアップデート
1.1.xシリーズ：1.1.11へアップデート
1.0.xシリーズ：1.0.14へアップデート

変更内容

本セキュリティアップデートでは、以下の修正が実施されました：

無限リダイレクトループを防ぐため、最大リダイレクト回数（5回）の制限を導入
元のリクエストと同じスキーム（HTTP/HTTPS）のみにリダイレクトを制限
SSRFを防止するため、プライベートネットワークアドレスへのリダイレクトをブロック

アップデート方法

以下のコマンドで最新のセキュアバージョンにアップデートできます：

# npmユーザーの場合
npm update @fedify/fedify

# Denoユーザーの場合
deno add jsr:@fedify/fedify

この脆弱性を責任を持って報告していただいたセキュリティ研究者の方に感謝申し上げます。迅速な対応が可能となりました。

本脆弱性の詳細については、セキュリティ勧告をご参照ください。

ご質問やご懸念がございましたら、GitHub Discussions、Matrixチャットスペース、またはDiscordサーバーまでお気軽にご連絡ください。

#Fedify #WebFinger #セキュリティ #脆弱性 #DoS #SSRF

Qiita - 人気の記事

@qiita@rss-mstdn.studiofreesia.com

ブラウザがちょっとドキドキ！脆弱性体験 XSS攻撃やってみた
https://qiita.com/tsuchida_na/items/cb9d72e009445db261b5?utm_campaign=popular_items&utm_medium=feed&utm_source=popular_items

#qiita #脆弱性 #DVWA #守りたい #反射型XSS #ちょっとドキドキ

:rss: 窓の杜

@forest_watch_impress@rss-mstdn.studiofreesia.com

iPhoneとWindows間でファイル共有～「Phone Link」「Link to Windows」の新機能がテスト開始／Androidでは実現済みの機能がようやくiPhoneにも対応へ
https://forest.watch.impress.co.jp/docs/news/1646908.html

#forest_watch_impress #iOS #Windows_にリンク #スマートフォン連携 #Phone_Link #Link_to_Windows #セキュリティ #脆弱性 #システム_ファイル #システム