Hashtag

#脆弱性

60 posts tagged with this hashtag.

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

Webサーバー「nginx」に3件の脆弱性 ～最大深刻度はCritical、DoSやコード実行の恐れ／「CVSS 4.0」の基本値は最高で10点満点中「9.2」。v1.30.4/v1.31.3への更新を
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

Webサーバー「nginx」に3件の脆弱性 ～最大深刻度はCritical、DoSやコード実行の恐れ／「CVSS 4.0」の基本値は最高で10点満点中「9.2」。v1.30.4/v1.31.3への更新を

　米F5は7月15日（現地時間）、Webサーバー「nginx」（エンジンエックス）の安定版（stable）v1.30.4と開発版（mainline）v1.31.3を公開した。先月に続くセキュリティアップデートで、新たに3件の脆弱性が修正されている。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

Webサーバー「nginx」に3件の脆弱性 ～最大深刻度はCritical、DoSやコード実行の恐れ／「CVSS 4.0」の基本値は最高で10点満点中「9.2」。v1.30.4/v1.31.3への更新を
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

Webサーバー「nginx」に3件の脆弱性 ～最大深刻度はCritical、DoSやコード実行の恐れ／「CVSS 4.0」の基本値は最高で10点満点中「9.2」。v1.30.4/v1.31.3への更新を

　米F5は7月15日（現地時間）、Webサーバー「nginx」（エンジンエックス）の安定版（stable）v1.30.4と開発版（mainline）v1.31.3を公開した。先月に続くセキュリティアップデートで、新たに3件の脆弱性が修正されている。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

Androidに四半期に一度の大規模セキュリティ更新 ～致命的なもの多数、悪用の兆候も／メーカーからパッチが提供され次第、速やかに適用を
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

Androidに四半期に一度の大規模セキュリティ更新 ～致命的なもの多数、悪用の兆候も／メーカーからパッチが提供され次第、速やかに適用を

　米Googleは6月1日（現地時間）、Android OSのセキュリティ情報（Android Security Bulletin：ASB）を発表した。今月は四半期に一度（3月、6月、9月、12月）の大規模アップデートで、深刻度が4段階中最高の「Critical」が18件含まれる。また、深刻度の評価は「High」にとどまるものの、 限定的な標的型攻撃で悪用されている兆候がある脆弱性（CVE-2025-48595） も対処された。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

Androidに四半期に一度の大規模セキュリティ更新 ～致命的なもの多数、悪用の兆候も／メーカーからパッチが提供され次第、速やかに適用を
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

Androidに四半期に一度の大規模セキュリティ更新 ～致命的なもの多数、悪用の兆候も／メーカーからパッチが提供され次第、速やかに適用を

　米Googleは6月1日（現地時間）、Android OSのセキュリティ情報（Android Security Bulletin：ASB）を発表した。今月は四半期に一度（3月、6月、9月、12月）の大規模アップデートで、深刻度が4段階中最高の「Critical」が18件含まれる。また、深刻度の評価は「High」にとどまるものの、 限定的な標的型攻撃で悪用されている兆候がある脆弱性（CVE-2025-48595） も対処された。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

Webサーバー「nginx」に再び致命的な脆弱性、修正版が公開／「ngx_http_rewrite_module」のバッファオーバーフロー、認証なしでリモート攻撃
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

Webサーバー「nginx」に再び致命的な脆弱性、修正版が公開／「ngx_http_rewrite_module」のバッファオーバーフロー、認証なしでリモート攻撃

　米F5は5月22日（現地時間）、Webサーバーシステム「nginx」（エンジンエックス）に致命的な脆弱性があることを明らかにした。「ngx_http_rewrite_module」にヒープバッファオーバーフローの脆弱性（CVE-2026-9256）があり、悪用されると外部からワーカープロセスのクラッシュ（DoS）が引き起こされるほか、「ASLR」が無効化された環境などでは、最悪の場合、任意のコードが実行されてしまう可能性があるという。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

Webサーバー「nginx」に再び致命的な脆弱性、修正版が公開／「ngx_http_rewrite_module」のバッファオーバーフロー、認証なしでリモート攻撃
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

Webサーバー「nginx」に再び致命的な脆弱性、修正版が公開／「ngx_http_rewrite_module」のバッファオーバーフロー、認証なしでリモート攻撃

　米F5は5月22日（現地時間）、Webサーバーシステム「nginx」（エンジンエックス）に致命的な脆弱性があることを明らかにした。「ngx_http_rewrite_module」にヒープバッファオーバーフローの脆弱性（CVE-2026-9256）があり、悪用されると外部からワーカープロセスのクラッシュ（DoS）が引き起こされるほか、「ASLR」が無効化された環境などでは、最悪の場合、任意のコードが実行されてしまう可能性があるという。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

ファイルを開くだけで任意コード実行、「Adobe Acrobat Reader」に緊急のセキュリティ更新／致命的な脆弱性に対処、一刻も早いアップデートを
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

「Adobe Acrobat Reader」に緊急のセキュリティ更新、一刻も早いアップデートを／ファイルを開くだけで任意コード実行、すでに悪用が確認済み

　米Adobeは4月12日（現地時間）、「Adobe Acrobat Reader」のセキュリティアップデートを実施した。すでに悪用が確認されているゼロデイ脆弱性が修正されており、一刻も早いアップデートが必要だ。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

ファイルを開くだけで任意コード実行、「Adobe Acrobat Reader」に緊急のセキュリティ更新／致命的な脆弱性に対処、一刻も早いアップデートを
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

「Adobe Acrobat Reader」に緊急のセキュリティ更新、一刻も早いアップデートを／ファイルを開くだけで任意コード実行、すでに悪用が確認済み

　米Adobeは4月12日（現地時間）、「Adobe Acrobat Reader」のセキュリティアップデートを実施した。すでに悪用が確認されているゼロデイ脆弱性が修正されており、一刻も早いアップデートが必要だ。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

Apple、「iOS 26.4.1」「macOS Tahoe 26.4.1」などをリリース／
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

Apple、「iOS 26.4.1」「macOS Tahoe 26.4.1」などをリリース／

　米Appleは4月9日（現地時間）、自社製OSのアップデートを実施した。以下の新しいバージョンが提供中。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

無料のメールソフト「Thunderbird」にセキュリティ修正 ～最大深刻度はhigh／任意コード実行につながるおそれのあるメモリ破損などの脆弱性を修正
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

無料のメールソフト「Thunderbird」にセキュリティ修正 ～最大深刻度はhigh／任意コード実行につながるおそれのあるメモリ破損などの脆弱性を修正

　オープンソースのメールソフト「Thunderbird」v149.0.2が、4月7日にリリースされた。Windows/Mac/Linuxに対応する寄付歓迎のフリーソフトで、現在、公式サイト「thunderbird.net」や「Microsoft Store」からダウンロードできる。Windows版はWindows 10以降をサポートしており、窓の杜ライブラリからもダウンロード可能だ。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

無料のメールソフト「Thunderbird」にセキュリティ修正 ～最大深刻度はhigh／任意コード実行につながるおそれのあるメモリ破損などの脆弱性を修正
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

無料のメールソフト「Thunderbird」にセキュリティ修正 ～最大深刻度はhigh／任意コード実行につながるおそれのあるメモリ破損などの脆弱性を修正

　オープンソースのメールソフト「Thunderbird」v149.0.2が、4月7日にリリースされた。Windows/Mac/Linuxに対応する寄付歓迎のフリーソフトで、現在、公式サイト「thunderbird.net」や「Microsoft Store」からダウンロードできる。Windows版はWindows 10以降をサポートしており、窓の杜ライブラリからもダウンロード可能だ。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

「Zoom」に非認証ユーザーによる権限昇格などの脆弱性／最大深刻度は「Critical」、Windows版に影響
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

「Zoom」に非認証ユーザーによる権限昇格などの脆弱性／最大深刻度は「Critical」、Windows版に影響

　米Zoom Video Communicationsは3月10日（現地時間）、オンラインビデオ会議サービス「Zoom」に複数の脆弱性があることを明らかにした。最大深刻度は4段階中1番高い「Critical」、CVE番号ベースで全4件が公表されている。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

「Zoom」に非認証ユーザーによる権限昇格などの脆弱性／最大深刻度は「Critical」、Windows版に影響
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

「Zoom」に非認証ユーザーによる権限昇格などの脆弱性／最大深刻度は「Critical」、Windows版に影響

　米Zoom Video Communicationsは3月10日（現地時間）、オンラインビデオ会議サービス「Zoom」に複数の脆弱性があることを明らかにした。最大深刻度は4段階中1番高い「Critical」、CVE番号ベースで全4件が公表されている。

h12o
@h12o@mastodon.tokyo

2.7までのGNU inetutilsに含まれるtelnetdに、細工した環境変数を送信するだけで認証を回避して特権ユーザーでのログインが可能な脆弱性が発見されたらしい。CVE-2026-24061。いまどきtelnetdをThe Internetに露出している人はそうそういないはずとはいえ、なかなか興味深いので調べてみたところ。`telnetd`が`execv()`で呼び出す`/usr/bin/login`のコマンドラインオプションをうまく使うことでそういうことができてしまうようで、正直興奮した。

safebreach.com/blog/safebreach

safebreach.com

Root Cause Analysis & PoC Exploit for CVE-2026-24061 | SafeBreach

Learn more about SafeBreach Labs root cause analysis and PoC exploit for critical CVE-2026-24061: Telnetd RCE as Root Vulnerability.

h12o
@h12o@mastodon.tokyo

2.7までのGNU inetutilsに含まれるtelnetdに、細工した環境変数を送信するだけで認証を回避して特権ユーザーでのログインが可能な脆弱性が発見されたらしい。CVE-2026-24061。いまどきtelnetdをThe Internetに露出している人はそうそういないはずとはいえ、なかなか興味深いので調べてみたところ。`telnetd`が`execv()`で呼び出す`/usr/bin/login`のコマンドラインオプションをうまく使うことでそういうことができてしまうようで、正直興奮した。

safebreach.com/blog/safebreach

safebreach.com

Root Cause Analysis & PoC Exploit for CVE-2026-24061 | SafeBreach

Learn more about SafeBreach Labs root cause analysis and PoC exploit for critical CVE-2026-24061: Telnetd RCE as Root Vulnerability.

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

「Thunderbird」v146.0.1が公開 ～特殊フォルダー名がローカライズされる問題を修正／セキュリティに関する修正はなし
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

「Thunderbird」v146.0.1が公開 ～特殊フォルダー名がローカライズされる問題を修正／セキュリティに関する修正はなし

　オープンソースのメールソフト「Thunderbird」v146.0.1が、12月17日（米国時間）にリリースされた。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

「Thunderbird」v146.0.1が公開 ～特殊フォルダー名がローカライズされる問題を修正／セキュリティに関する修正はなし
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

「Thunderbird」v146.0.1が公開 ～特殊フォルダー名がローカライズされる問題を修正／セキュリティに関する修正はなし

　オープンソースのメールソフト「Thunderbird」v146.0.1が、12月17日（米国時間）にリリースされた。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

「Google Chrome」へのセキュリティ攻撃を確認、すぐに修正版へのアップデートを／Windows環境では143.0.7499.109/.110が展開中
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

「Google Chrome」へのセキュリティ攻撃を確認、すぐに修正版へのアップデートを／Windows環境では143.0.7499.109/.110が展開中

　米Googleは12月10日（現地時間）、デスクトップ向け「Google Chrome」の安定（Stable）チャネルをアップデートした。現在、Windows/Mac環境にはv143.0.7499.109/.110が、Linux環境にはv143.0.7499.109が展開中だ。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

「Google Chrome」へのセキュリティ攻撃を確認、すぐに修正版へのアップデートを／Windows環境では143.0.7499.109/.110が展開中
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

「Google Chrome」へのセキュリティ攻撃を確認、すぐに修正版へのアップデートを／Windows環境では143.0.7499.109/.110が展開中

　米Googleは12月10日（現地時間）、デスクトップ向け「Google Chrome」の安定（Stable）チャネルをアップデートした。現在、Windows/Mac環境にはv143.0.7499.109/.110が、Linux環境にはv143.0.7499.109が展開中だ。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

Android OSの2025年12月のセキュリティ情報が公開。致命的なもの複数、悪用の兆候も／メーカーからパッチが提供され次第適用を
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

Android OSの2025年12月のセキュリティ情報が公開。致命的なもの複数、悪用の兆候も／メーカーからパッチが提供され次第適用を

　米Googleは12月1日（現地時間）、Android OSのセキュリティ情報（ABS）を発表した。四半期ごと（3月、6月、9月、12月）にリリースされるだが、大規模なセキュリティアップデートとなっている。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

Android OSの2025年12月のセキュリティ情報が公開。致命的なもの複数、悪用の兆候も／メーカーからパッチが提供され次第適用を
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

Android OSの2025年12月のセキュリティ情報が公開。致命的なもの複数、悪用の兆候も／メーカーからパッチが提供され次第適用を

　米Googleは12月1日（現地時間）、Android OSのセキュリティ情報（ABS）を発表した。四半期ごと（3月、6月、9月、12月）にリリースされるだが、大規模なセキュリティアップデートとなっている。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

「OpenSSL 3.2」のサポートが終了、今後はセキュリティパッチの提供なし／「OpenSSL 3.5」「OpenSSL 3.6」への移行を
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

「OpenSSL 3.2」のサポートが終了、今後はセキュリティパッチの提供なし／「OpenSSL 3.5」「OpenSSL 3.6」への移行を

　「OpenSSL 3.2」が11月23日でサポート終了（EOL）を迎えた。今後はセキュリティアップデートが提供されなくなるため、利用の継続は重大なセキュリティリスクを伴う。サポートが提供されている後継バージョンへの移行が必要だ。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

「OpenSSL 3.2」のサポートが終了、今後はセキュリティパッチの提供なし／「OpenSSL 3.5」「OpenSSL 3.6」への移行を
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

「OpenSSL 3.2」のサポートが終了、今後はセキュリティパッチの提供なし／「OpenSSL 3.5」「OpenSSL 3.6」への移行を

　「OpenSSL 3.2」が11月23日でサポート終了（EOL）を迎えた。今後はセキュリティアップデートが提供されなくなるため、利用の継続は重大なセキュリティリスクを伴う。サポートが提供されている後継バージョンへの移行が必要だ。

洪 民憙 (Hong Minhee) :nonbinary:
@hongminhee@hollo.social · Reply to 洪 民憙 (Hong Minhee) :nonbinary:

Holloをお使いの方は、できるだけ早く0.6.12バージョンにアップデートしてください。DMが公開投稿ページで露出する深刻なセキュリティ脆弱性が修正されました。

https://hollo.social/@hollo/0199aaaf-7979-7da3-9509-73c9e487de05

hollo.social

### Security update: Hollo 0.6…

### Security update: Hollo 0.6.12 is now available We've released #Hollo 0.6.12 to fix a critical privacy #vulnerability where direct messages were being exposed in the replies section of public posts. Please update your instances immediately to ensure your private conversations remain private. #security

Hollo :hollo:
@hollo@hollo.social

Security update: Hollo 0.6.12 is now available

We've released 0.6.12 to fix a critical privacy where direct messages were being exposed in the replies section of public posts. Please update your instances immediately to ensure your private conversations remain private.

洪 民憙 (Hong Minhee) :nonbinary:
@hongminhee@hollo.social · Reply to 洪 民憙 (Hong Minhee) :nonbinary:

Holloをお使いの方は、できるだけ早く0.6.12バージョンにアップデートしてください。DMが公開投稿ページで露出する深刻なセキュリティ脆弱性が修正されました。

https://hollo.social/@hollo/0199aaaf-7979-7da3-9509-73c9e487de05

hollo.social

### Security update: Hollo 0.6…

### Security update: Hollo 0.6.12 is now available We've released #Hollo 0.6.12 to fix a critical privacy #vulnerability where direct messages were being exposed in the replies section of public posts. Please update your instances immediately to ensure your private conversations remain private. #security

Hollo :hollo:
@hollo@hollo.social

Security update: Hollo 0.6.12 is now available

We've released 0.6.12 to fix a critical privacy where direct messages were being exposed in the replies section of public posts. Please update your instances immediately to ensure your private conversations remain private.

洪 民憙 (Hong Minhee) :nonbinary:
@hongminhee@hollo.social · Reply to 洪 民憙 (Hong Minhee) :nonbinary:

Holloをお使いの方は、できるだけ早く0.6.12バージョンにアップデートしてください。DMが公開投稿ページで露出する深刻なセキュリティ脆弱性が修正されました。

https://hollo.social/@hollo/0199aaaf-7979-7da3-9509-73c9e487de05

hollo.social

### Security update: Hollo 0.6…

### Security update: Hollo 0.6.12 is now available We've released #Hollo 0.6.12 to fix a critical privacy #vulnerability where direct messages were being exposed in the replies section of public posts. Please update your instances immediately to ensure your private conversations remain private. #security

Hollo :hollo:
@hollo@hollo.social

Security update: Hollo 0.6.12 is now available

We've released 0.6.12 to fix a critical privacy where direct messages were being exposed in the replies section of public posts. Please update your instances immediately to ensure your private conversations remain private.

洪 民憙 (Hong Minhee) :nonbinary:
@hongminhee@hollo.social · Reply to 洪 民憙 (Hong Minhee) :nonbinary:

Holloをお使いの方は、できるだけ早く0.6.12バージョンにアップデートしてください。DMが公開投稿ページで露出する深刻なセキュリティ脆弱性が修正されました。

https://hollo.social/@hollo/0199aaaf-7979-7da3-9509-73c9e487de05

hollo.social

### Security update: Hollo 0.6…

### Security update: Hollo 0.6.12 is now available We've released #Hollo 0.6.12 to fix a critical privacy #vulnerability where direct messages were being exposed in the replies section of public posts. Please update your instances immediately to ensure your private conversations remain private. #security

Hollo :hollo:
@hollo@hollo.social

Security update: Hollo 0.6.12 is now available

We've released 0.6.12 to fix a critical privacy where direct messages were being exposed in the replies section of public posts. Please update your instances immediately to ensure your private conversations remain private.

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

「Google Chrome」に深刻度「Critical」の致命的な脆弱性、アップデートを／Windows環境には修正版のv140.0.7339.127/.128が展開中
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

「Google Chrome」に深刻度「Critical」の致命的な脆弱性、アップデートを／Windows環境には修正版のv140.0.7339.127/.128が展開中

　米Googleは9月9日（現地時間）、デスクトップ向け「Google Chrome」の安定（Stable）チャネルをアップデートした。現在、Windows環境にはv140.0.7339.127/.128が、Mac環境にはv140.0.7339.132/.133が、Linux環境にはv140.0.7339.127が展開中だ。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

「Google Chrome」に深刻度「Critical」の致命的な脆弱性、アップデートを／Windows環境には修正版のv140.0.7339.127/.128が展開中
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

「Google Chrome」に深刻度「Critical」の致命的な脆弱性、アップデートを／Windows環境には修正版のv140.0.7339.127/.128が展開中

　米Googleは9月9日（現地時間）、デスクトップ向け「Google Chrome」の安定（Stable）チャネルをアップデートした。現在、Windows環境にはv140.0.7339.127/.128が、Mac環境にはv140.0.7339.132/.133が、Linux環境にはv140.0.7339.127が展開中だ。

:rss: CNET Japan 最新情報　総合
@japan_cnet@rss-mstdn.studiofreesia.com

今すぐiPhoneに「iOS 18.6.2」適用を、すでに悪用の可能性がある脆弱性に対処
japan.cnet.com/article/3523695

japan.cnet.com

今すぐiPhoneに「iOS 18.6.2」適用を、すでに悪用の可能性がある脆弱性に対処

アップルは、「iPhone」向けの「iOS 26」公開を数週間後に控えた米国時間8月20日、「iOS 18.6.2」をリリースした。

:rss: CNET Japan 最新情報　総合
@japan_cnet@rss-mstdn.studiofreesia.com

今すぐiPhoneに「iOS 18.6.2」適用を、すでに悪用の可能性がある脆弱性に対処
japan.cnet.com/article/3523695

japan.cnet.com

今すぐiPhoneに「iOS 18.6.2」適用を、すでに悪用の可能性がある脆弱性に対処

アップルは、「iPhone」向けの「iOS 26」公開を数週間後に控えた米国時間8月20日、「iOS 18.6.2」をリリースした。

Hollo :hollo:
@hollo@hollo.social · Reply to Hollo :hollo:

Fedifyフレームワークの脆弱性に対処するため、Holloのセキュリティアップデートをリリースしました。（0.4.12、0.5.7、0.6.6）これらのアップデートには、CVE-2025-54888を修正する最新のFedifyセキュリティパッチが含まれています。

すべてのHolloインスタンス管理者の皆様には、できるだけ早く該当するリリースブランチの最新バージョンにアップデートしていただくことを強く推奨いたします。

アップデート方法：

  • Railwayユーザー： プロジェクトダッシュボードでHolloサービスを選択し、deploymentsの三点メニューをクリックして「Redeploy」を選択してください
  • Dockerユーザー： docker pull ghcr.io/fedify-dev/hollo:latestで最新イメージを取得し、コンテナを再起動してください
  • 手動インストールユーザー： git pullで最新コードを取得した後、pnpm installを実行してサービスを再起動してください

github.com

Improper Authentication and Incorrect Authorization in @fedify/fedify

### Summary An authentication bypass vulnerability allows any unauthenticated attacker to impersonate any ActivityPub actor by sending forged activities signed with their own keys. Activities are...

Hollo :hollo:
@hollo@hollo.social · Reply to Hollo :hollo:

Fedifyフレームワークの脆弱性に対処するため、Holloのセキュリティアップデートをリリースしました。（0.4.12、0.5.7、0.6.6）これらのアップデートには、CVE-2025-54888を修正する最新のFedifyセキュリティパッチが含まれています。

すべてのHolloインスタンス管理者の皆様には、できるだけ早く該当するリリースブランチの最新バージョンにアップデートしていただくことを強く推奨いたします。

アップデート方法：

  • Railwayユーザー： プロジェクトダッシュボードでHolloサービスを選択し、deploymentsの三点メニューをクリックして「Redeploy」を選択してください
  • Dockerユーザー： docker pull ghcr.io/fedify-dev/hollo:latestで最新イメージを取得し、コンテナを再起動してください
  • 手動インストールユーザー： git pullで最新コードを取得した後、pnpm installを実行してサービスを再起動してください

github.com

Improper Authentication and Incorrect Authorization in @fedify/fedify

### Summary An authentication bypass vulnerability allows any unauthenticated attacker to impersonate any ActivityPub actor by sending forged activities signed with their own keys. Activities are...

Hollo :hollo:
@hollo@hollo.social · Reply to Hollo :hollo:

Fedifyフレームワークの脆弱性に対処するため、Holloのセキュリティアップデートをリリースしました。（0.4.12、0.5.7、0.6.6）これらのアップデートには、CVE-2025-54888を修正する最新のFedifyセキュリティパッチが含まれています。

すべてのHolloインスタンス管理者の皆様には、できるだけ早く該当するリリースブランチの最新バージョンにアップデートしていただくことを強く推奨いたします。

アップデート方法：

  • Railwayユーザー： プロジェクトダッシュボードでHolloサービスを選択し、deploymentsの三点メニューをクリックして「Redeploy」を選択してください
  • Dockerユーザー： docker pull ghcr.io/fedify-dev/hollo:latestで最新イメージを取得し、コンテナを再起動してください
  • 手動インストールユーザー： git pullで最新コードを取得した後、pnpm installを実行してサービスを再起動してください

github.com

Improper Authentication and Incorrect Authorization in @fedify/fedify

### Summary An authentication bypass vulnerability allows any unauthenticated attacker to impersonate any ActivityPub actor by sending forged activities signed with their own keys. Activities are...

Hollo :hollo:
@hollo@hollo.social · Reply to Hollo :hollo:

Fedifyフレームワークの脆弱性に対処するため、Holloのセキュリティアップデートをリリースしました。（0.4.12、0.5.7、0.6.6）これらのアップデートには、CVE-2025-54888を修正する最新のFedifyセキュリティパッチが含まれています。

すべてのHolloインスタンス管理者の皆様には、できるだけ早く該当するリリースブランチの最新バージョンにアップデートしていただくことを強く推奨いたします。

アップデート方法：

  • Railwayユーザー： プロジェクトダッシュボードでHolloサービスを選択し、deploymentsの三点メニューをクリックして「Redeploy」を選択してください
  • Dockerユーザー： docker pull ghcr.io/fedify-dev/hollo:latestで最新イメージを取得し、コンテナを再起動してください
  • 手動インストールユーザー： git pullで最新コードを取得した後、pnpm installを実行してサービスを再起動してください

github.com

Improper Authentication and Incorrect Authorization in @fedify/fedify

### Summary An authentication bypass vulnerability allows any unauthenticated attacker to impersonate any ActivityPub actor by sending forged activities signed with their own keys. Activities are...

Hollo :hollo:
@hollo@hollo.social · Reply to Hollo :hollo:

Fedifyフレームワークの脆弱性に対処するため、Holloのセキュリティアップデートをリリースしました。（0.4.12、0.5.7、0.6.6）これらのアップデートには、CVE-2025-54888を修正する最新のFedifyセキュリティパッチが含まれています。

すべてのHolloインスタンス管理者の皆様には、できるだけ早く該当するリリースブランチの最新バージョンにアップデートしていただくことを強く推奨いたします。

アップデート方法：

  • Railwayユーザー： プロジェクトダッシュボードでHolloサービスを選択し、deploymentsの三点メニューをクリックして「Redeploy」を選択してください
  • Dockerユーザー： docker pull ghcr.io/fedify-dev/hollo:latestで最新イメージを取得し、コンテナを再起動してください
  • 手動インストールユーザー： git pullで最新コードを取得した後、pnpm installを実行してサービスを再起動してください

github.com

Improper Authentication and Incorrect Authorization in @fedify/fedify

### Summary An authentication bypass vulnerability allows any unauthenticated attacker to impersonate any ActivityPub actor by sending forged activities signed with their own keys. Activities are...

Hollo :hollo:
@hollo@hollo.social · Reply to Hollo :hollo:

Fedifyフレームワークの脆弱性に対処するため、Holloのセキュリティアップデートをリリースしました。（0.4.12、0.5.7、0.6.6）これらのアップデートには、CVE-2025-54888を修正する最新のFedifyセキュリティパッチが含まれています。

すべてのHolloインスタンス管理者の皆様には、できるだけ早く該当するリリースブランチの最新バージョンにアップデートしていただくことを強く推奨いたします。

アップデート方法：

  • Railwayユーザー： プロジェクトダッシュボードでHolloサービスを選択し、deploymentsの三点メニューをクリックして「Redeploy」を選択してください
  • Dockerユーザー： docker pull ghcr.io/fedify-dev/hollo:latestで最新イメージを取得し、コンテナを再起動してください
  • 手動インストールユーザー： git pullで最新コードを取得した後、pnpm installを実行してサービスを再起動してください

github.com

Improper Authentication and Incorrect Authorization in @fedify/fedify

### Summary An authentication bypass vulnerability allows any unauthenticated attacker to impersonate any ActivityPub actor by sending forged activities signed with their own keys. Activities are...

Hollo :hollo:
@hollo@hollo.social · Reply to Hollo :hollo:

Fedifyフレームワークの脆弱性に対処するため、Holloのセキュリティアップデートをリリースしました。（0.4.12、0.5.7、0.6.6）これらのアップデートには、CVE-2025-54888を修正する最新のFedifyセキュリティパッチが含まれています。

すべてのHolloインスタンス管理者の皆様には、できるだけ早く該当するリリースブランチの最新バージョンにアップデートしていただくことを強く推奨いたします。

アップデート方法：

  • Railwayユーザー： プロジェクトダッシュボードでHolloサービスを選択し、deploymentsの三点メニューをクリックして「Redeploy」を選択してください
  • Dockerユーザー： docker pull ghcr.io/fedify-dev/hollo:latestで最新イメージを取得し、コンテナを再起動してください
  • 手動インストールユーザー： git pullで最新コードを取得した後、pnpm installを実行してサービスを再起動してください

github.com

Improper Authentication and Incorrect Authorization in @fedify/fedify

### Summary An authentication bypass vulnerability allows any unauthenticated attacker to impersonate any ActivityPub actor by sending forged activities signed with their own keys. Activities are...

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

トランプ政権による支援打ち切りで存続が危ぶまれていた「CVE」、財団設立で一国依存脱却へ／世界中の脆弱性情報は今後「CVE Foundation」で管理
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

トランプ政権による支援打ち切りで存続が危ぶまれていた「CVE」、財団設立で一国依存脱却へ／世界中の脆弱性情報は今後「CVE Foundation」で管理

　米国政府がMITREへの支援を打ち切ったことが明らかになり、同団体が共通脆弱性識別子「CVE」の管理で従来のような大きな役割を果たせなくなるのではないかとの懸念が広がっていることを受け、米国時間4月16日、「CVE Foundation」の設立がアナウンスされた。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

トランプ政権による支援打ち切りで存続が危ぶまれていた「CVE」、財団設立で一国依存脱却へ／世界中の脆弱性情報は今後「CVE Foundation」で管理
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

トランプ政権による支援打ち切りで存続が危ぶまれていた「CVE」、財団設立で一国依存脱却へ／世界中の脆弱性情報は今後「CVE Foundation」で管理

　米国政府がMITREへの支援を打ち切ったことが明らかになり、同団体が共通脆弱性識別子「CVE」の管理で従来のような大きな役割を果たせなくなるのではないかとの懸念が広がっていることを受け、米国時間4月16日、「CVE Foundation」の設立がアナウンスされた。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

「Zoom Workplace」に複数の脆弱性 ～最新版へのアップデートを／
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

「Zoom Workplace」に複数の脆弱性 ～最新版へのアップデートを／

　米Zoom Video Communicationsは4月8日（現地時間）、オンラインビデオ会議サービス「Zoom Workplace」Windows版に複数の脆弱性があることを明らかにした。最大深刻度は4段階中3番目に高い「Medium」。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

「Zoom Workplace」に複数の脆弱性 ～最新版へのアップデートを／
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

「Zoom Workplace」に複数の脆弱性 ～最新版へのアップデートを／

　米Zoom Video Communicationsは4月8日（現地時間）、オンラインビデオ会議サービス「Zoom Workplace」Windows版に複数の脆弱性があることを明らかにした。最大深刻度は4段階中3番目に高い「Medium」。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

EOLを迎えた古い「Node.js」へのCVE付番、MITREに却下されてしまう／開発チームが新方針発表、EOL版は便宜上「今後の新たな脆弱性全てが該当する」原則に
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

EOLを迎えた古い「Node.js」へのCVE付番、MITREに却下されてしまう／開発チームが新方針発表、EOL版は便宜上「今後の新たな脆弱性全てが該当する」原則に

　ライフサイクルを終えた（EOL）古い「Node.js」バージョンに付番したCVE番号は、MITREによって却下されてしまったとのこと。「Node.js」の開発チームが3月7日、公式ブログで明らかにした。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

EOLを迎えた古い「Node.js」へのCVE付番、MITREに却下されてしまう／開発チームが新方針発表、EOL版は便宜上「今後の新たな脆弱性全てが該当する」原則に
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

EOLを迎えた古い「Node.js」へのCVE付番、MITREに却下されてしまう／開発チームが新方針発表、EOL版は便宜上「今後の新たな脆弱性全てが該当する」原則に

　ライフサイクルを終えた（EOL）古い「Node.js」バージョンに付番したCVE番号は、MITREによって却下されてしまったとのこと。「Node.js」の開発チームが3月7日、公式ブログで明らかにした。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

垂直タブ、AI統合の新しいサイドバーを搭載した「Firefox 136」が正式リリース／Linux向けARM64版も追加。セキュリティ関連の修正は15件
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

垂直タブ、AI統合の新しいサイドバーを搭載した「Firefox 136」が正式リリース／Linux向けARM64版も追加。セキュリティ関連の修正は15件

　Mozillaは3月4日（米国時間）、デスクトップ向け「Firefox」の最新版v136.0をリリースチャネルで公開した。「Firefox 136」の目玉は、新しくなったサイドバーと垂直タブレイアウトだ。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

垂直タブ、AI統合の新しいサイドバーを搭載した「Firefox 136」が正式リリース／Linux向けARM64版も追加。セキュリティ関連の修正は15件
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

垂直タブ、AI統合の新しいサイドバーを搭載した「Firefox 136」が正式リリース／Linux向けARM64版も追加。セキュリティ関連の修正は15件

　Mozillaは3月4日（米国時間）、デスクトップ向け「Firefox」の最新版v136.0をリリースチャネルで公開した。「Firefox 136」の目玉は、新しくなったサイドバーと垂直タブレイアウトだ。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

「Google Chrome」にヒープバッファオーバーフローなどの脆弱性、修正版が公開／Windows環境にはv133.0.6943.126/.127が展開中
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

「Google Chrome」にヒープバッファオーバーフローなどの脆弱性、修正版が公開／Windows環境にはv133.0.6943.126/.127が展開中

　米Googleは2月18日（現地時間）、デスクトップ向け「Google Chrome」の安定（Stable）チャネルをアップデートした。現在、Windows/Mac環境にv133.0.6943.126/.127、Linux環境にv133.0.6943.126が展開中だ。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

「Google Chrome」にヒープバッファオーバーフローなどの脆弱性、修正版が公開／Windows環境にはv133.0.6943.126/.127が展開中
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

「Google Chrome」にヒープバッファオーバーフローなどの脆弱性、修正版が公開／Windows環境にはv133.0.6943.126/.127が展開中

　米Googleは2月18日（現地時間）、デスクトップ向け「Google Chrome」の安定（Stable）チャネルをアップデートした。現在、Windows/Mac環境にv133.0.6943.126/.127、Linux環境にv133.0.6943.126が展開中だ。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

老舗の圧縮・解凍ツール「WinZip」にリモートコード実行の脆弱性／「WinZip 29.0」へのアップデートを
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

老舗の圧縮・解凍ツール「WinZip」にリモートコード実行の脆弱性／「WinZip 29.0」へのアップデートを

　Trend Microのセキュリティ部門Zero Day Initiative（ZDI）は1月20日（現地時間）、圧縮・解凍ツール「WinZip」にリモートコード実行の脆弱性（CVE-2025-1240）があることを明らかにした。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

老舗の圧縮・解凍ツール「WinZip」にリモートコード実行の脆弱性／「WinZip 29.0」へのアップデートを
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

老舗の圧縮・解凍ツール「WinZip」にリモートコード実行の脆弱性／「WinZip 29.0」へのアップデートを

　Trend Microのセキュリティ部門Zero Day Initiative（ZDI）は1月20日（現地時間）、圧縮・解凍ツール「WinZip」にリモートコード実行の脆弱性（CVE-2025-1240）があることを明らかにした。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

「BitLocker」に情報漏えいの脆弱性 ～物理的アクセスで悪用可能に、盗難時のリスクに警戒を／修正パッチは1月のパッチチューズデーで提供済み
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

「BitLocker」に情報漏えいの脆弱性 ～物理的アクセスで悪用可能に、盗難時のリスクに警戒を／修正パッチは1月のパッチチューズデーで提供済み

　米Microsoftは1月14日（現地時間、以下同）、Windowsのセキュリティ機能「BitLocker」に情報漏えいの脆弱性「CVE-2025-21210」が発見されたことを明らかにした。深刻度は「CVSS 3.1」ベーススコアにおいて「4.2」、「重要」（Important）と評価されているが、攻撃者が物理的にデバイスにアクセスすることで悪用が可能になるということで、新たなリスクに警戒が必要だ。

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

「BitLocker」に情報漏えいの脆弱性 ～物理的アクセスで悪用可能に、盗難時のリスクに警戒を／修正パッチは1月のパッチチューズデーで提供済み
forest.watch.impress.co.jp/doc

forest.watch.impress.co.jp

「BitLocker」に情報漏えいの脆弱性 ～物理的アクセスで悪用可能に、盗難時のリスクに警戒を／修正パッチは1月のパッチチューズデーで提供済み

　米Microsoftは1月14日（現地時間、以下同）、Windowsのセキュリティ機能「BitLocker」に情報漏えいの脆弱性「CVE-2025-21210」が発見されたことを明らかにした。深刻度は「CVSS 3.1」ベーススコアにおいて「4.2」、「重要」（Important）と評価されているが、攻撃者が物理的にデバイスにアクセスすることで悪用が可能になるということで、新たなリスクに警戒が必要だ。

Fedify: ActivityPub server framework
@fedify@hollo.social · Reply to Fedify: ActivityPub server framework

FedifyのWebFinger実装における脆弱性CVE-2025-23221に対するセキュリティアップデート（1.0.14、1.1.11、1.2.11、1.3.4）をリリースいたしました。すべてのユーザー様におかれましては、お使いのバージョンに応じた最新版への速やかなアップデートを推奨いたします。

脆弱性の詳細

セキュリティ研究者により、FedifyのlookupWebFinger()関数において以下のセキュリティ上の問題が発見されました：

  • 無限リダイレクトループによるサービス拒否攻撃（DoS）の可能性
  • プライベートネットワークアドレスへのリダイレクトを利用したSSRF（サーバーサイドリクエストフォージェリ）攻撃の可能性
  • リダイレクト操作による意図しないURLスキームへのアクセスの可能性

修正されたバージョン

  • 1.3.xシリーズ：1.3.4へアップデート
  • 1.2.xシリーズ：1.2.11へアップデート
  • 1.1.xシリーズ：1.1.11へアップデート
  • 1.0.xシリーズ：1.0.14へアップデート

変更内容

本セキュリティアップデートでは、以下の修正が実施されました：

  1. 無限リダイレクトループを防ぐため、最大リダイレクト回数（5回）の制限を導入
  2. 元のリクエストと同じスキーム（HTTP/HTTPS）のみにリダイレクトを制限
  3. SSRFを防止するため、プライベートネットワークアドレスへのリダイレクトをブロック

アップデート方法

以下のコマンドで最新のセキュアバージョンにアップデートできます：

# npmユーザーの場合
npm update @fedify/fedify

# Denoユーザーの場合
deno add jsr:@fedify/fedify

この脆弱性を責任を持って報告していただいたセキュリティ研究者の方に感謝申し上げます。迅速な対応が可能となりました。

本脆弱性の詳細については、セキュリティ勧告をご参照ください。

ご質問やご懸念がございましたら、GitHub Discussions、Matrixチャットスペース、またはDiscordサーバーまでお気軽にご連絡ください。

discord.com

Join the Fedify/Hollo Discord Server!

Check out the Fedify/Hollo community on Discord - hang out with 84 other members and enjoy free voice and text chat.

Fedify: ActivityPub server framework
@fedify@hollo.social · Reply to Fedify: ActivityPub server framework

FedifyのWebFinger実装における脆弱性CVE-2025-23221に対するセキュリティアップデート（1.0.14、1.1.11、1.2.11、1.3.4）をリリースいたしました。すべてのユーザー様におかれましては、お使いのバージョンに応じた最新版への速やかなアップデートを推奨いたします。

脆弱性の詳細

セキュリティ研究者により、FedifyのlookupWebFinger()関数において以下のセキュリティ上の問題が発見されました：

  • 無限リダイレクトループによるサービス拒否攻撃（DoS）の可能性
  • プライベートネットワークアドレスへのリダイレクトを利用したSSRF（サーバーサイドリクエストフォージェリ）攻撃の可能性
  • リダイレクト操作による意図しないURLスキームへのアクセスの可能性

修正されたバージョン

  • 1.3.xシリーズ：1.3.4へアップデート
  • 1.2.xシリーズ：1.2.11へアップデート
  • 1.1.xシリーズ：1.1.11へアップデート
  • 1.0.xシリーズ：1.0.14へアップデート

変更内容

本セキュリティアップデートでは、以下の修正が実施されました：

  1. 無限リダイレクトループを防ぐため、最大リダイレクト回数（5回）の制限を導入
  2. 元のリクエストと同じスキーム（HTTP/HTTPS）のみにリダイレクトを制限
  3. SSRFを防止するため、プライベートネットワークアドレスへのリダイレクトをブロック

アップデート方法

以下のコマンドで最新のセキュアバージョンにアップデートできます：

# npmユーザーの場合
npm update @fedify/fedify

# Denoユーザーの場合
deno add jsr:@fedify/fedify

この脆弱性を責任を持って報告していただいたセキュリティ研究者の方に感謝申し上げます。迅速な対応が可能となりました。

本脆弱性の詳細については、セキュリティ勧告をご参照ください。

ご質問やご懸念がございましたら、GitHub Discussions、Matrixチャットスペース、またはDiscordサーバーまでお気軽にご連絡ください。

discord.com

Join the Fedify/Hollo Discord Server!

Check out the Fedify/Hollo community on Discord - hang out with 84 other members and enjoy free voice and text chat.

Fedify: ActivityPub server framework
@fedify@hollo.social · Reply to Fedify: ActivityPub server framework

FedifyのWebFinger実装における脆弱性CVE-2025-23221に対するセキュリティアップデート（1.0.14、1.1.11、1.2.11、1.3.4）をリリースいたしました。すべてのユーザー様におかれましては、お使いのバージョンに応じた最新版への速やかなアップデートを推奨いたします。

脆弱性の詳細

セキュリティ研究者により、FedifyのlookupWebFinger()関数において以下のセキュリティ上の問題が発見されました：

  • 無限リダイレクトループによるサービス拒否攻撃（DoS）の可能性
  • プライベートネットワークアドレスへのリダイレクトを利用したSSRF（サーバーサイドリクエストフォージェリ）攻撃の可能性
  • リダイレクト操作による意図しないURLスキームへのアクセスの可能性

修正されたバージョン

  • 1.3.xシリーズ：1.3.4へアップデート
  • 1.2.xシリーズ：1.2.11へアップデート
  • 1.1.xシリーズ：1.1.11へアップデート
  • 1.0.xシリーズ：1.0.14へアップデート

変更内容

本セキュリティアップデートでは、以下の修正が実施されました：

  1. 無限リダイレクトループを防ぐため、最大リダイレクト回数（5回）の制限を導入
  2. 元のリクエストと同じスキーム（HTTP/HTTPS）のみにリダイレクトを制限
  3. SSRFを防止するため、プライベートネットワークアドレスへのリダイレクトをブロック

アップデート方法

以下のコマンドで最新のセキュアバージョンにアップデートできます：

# npmユーザーの場合
npm update @fedify/fedify

# Denoユーザーの場合
deno add jsr:@fedify/fedify

この脆弱性を責任を持って報告していただいたセキュリティ研究者の方に感謝申し上げます。迅速な対応が可能となりました。

本脆弱性の詳細については、セキュリティ勧告をご参照ください。

ご質問やご懸念がございましたら、GitHub Discussions、Matrixチャットスペース、またはDiscordサーバーまでお気軽にご連絡ください。

discord.com

Join the Fedify/Hollo Discord Server!

Check out the Fedify/Hollo community on Discord - hang out with 84 other members and enjoy free voice and text chat.

Fedify: ActivityPub server framework
@fedify@hollo.social · Reply to Fedify: ActivityPub server framework

FedifyのWebFinger実装における脆弱性CVE-2025-23221に対するセキュリティアップデート（1.0.14、1.1.11、1.2.11、1.3.4）をリリースいたしました。すべてのユーザー様におかれましては、お使いのバージョンに応じた最新版への速やかなアップデートを推奨いたします。

脆弱性の詳細

セキュリティ研究者により、FedifyのlookupWebFinger()関数において以下のセキュリティ上の問題が発見されました：

  • 無限リダイレクトループによるサービス拒否攻撃（DoS）の可能性
  • プライベートネットワークアドレスへのリダイレクトを利用したSSRF（サーバーサイドリクエストフォージェリ）攻撃の可能性
  • リダイレクト操作による意図しないURLスキームへのアクセスの可能性

修正されたバージョン

  • 1.3.xシリーズ：1.3.4へアップデート
  • 1.2.xシリーズ：1.2.11へアップデート
  • 1.1.xシリーズ：1.1.11へアップデート
  • 1.0.xシリーズ：1.0.14へアップデート

変更内容

本セキュリティアップデートでは、以下の修正が実施されました：

  1. 無限リダイレクトループを防ぐため、最大リダイレクト回数（5回）の制限を導入
  2. 元のリクエストと同じスキーム（HTTP/HTTPS）のみにリダイレクトを制限
  3. SSRFを防止するため、プライベートネットワークアドレスへのリダイレクトをブロック

アップデート方法

以下のコマンドで最新のセキュアバージョンにアップデートできます：

# npmユーザーの場合
npm update @fedify/fedify

# Denoユーザーの場合
deno add jsr:@fedify/fedify

この脆弱性を責任を持って報告していただいたセキュリティ研究者の方に感謝申し上げます。迅速な対応が可能となりました。

本脆弱性の詳細については、セキュリティ勧告をご参照ください。

ご質問やご懸念がございましたら、GitHub Discussions、Matrixチャットスペース、またはDiscordサーバーまでお気軽にご連絡ください。

discord.com

Join the Fedify/Hollo Discord Server!

Check out the Fedify/Hollo community on Discord - hang out with 84 other members and enjoy free voice and text chat.

Fedify: ActivityPub server framework
@fedify@hollo.social · Reply to Fedify: ActivityPub server framework

FedifyのWebFinger実装における脆弱性CVE-2025-23221に対するセキュリティアップデート（1.0.14、1.1.11、1.2.11、1.3.4）をリリースいたしました。すべてのユーザー様におかれましては、お使いのバージョンに応じた最新版への速やかなアップデートを推奨いたします。

脆弱性の詳細

セキュリティ研究者により、FedifyのlookupWebFinger()関数において以下のセキュリティ上の問題が発見されました：

  • 無限リダイレクトループによるサービス拒否攻撃（DoS）の可能性
  • プライベートネットワークアドレスへのリダイレクトを利用したSSRF（サーバーサイドリクエストフォージェリ）攻撃の可能性
  • リダイレクト操作による意図しないURLスキームへのアクセスの可能性

修正されたバージョン

  • 1.3.xシリーズ：1.3.4へアップデート
  • 1.2.xシリーズ：1.2.11へアップデート
  • 1.1.xシリーズ：1.1.11へアップデート
  • 1.0.xシリーズ：1.0.14へアップデート

変更内容

本セキュリティアップデートでは、以下の修正が実施されました：

  1. 無限リダイレクトループを防ぐため、最大リダイレクト回数（5回）の制限を導入
  2. 元のリクエストと同じスキーム（HTTP/HTTPS）のみにリダイレクトを制限
  3. SSRFを防止するため、プライベートネットワークアドレスへのリダイレクトをブロック

アップデート方法

以下のコマンドで最新のセキュアバージョンにアップデートできます：

# npmユーザーの場合
npm update @fedify/fedify

# Denoユーザーの場合
deno add jsr:@fedify/fedify

この脆弱性を責任を持って報告していただいたセキュリティ研究者の方に感謝申し上げます。迅速な対応が可能となりました。

本脆弱性の詳細については、セキュリティ勧告をご参照ください。

ご質問やご懸念がございましたら、GitHub Discussions、Matrixチャットスペース、またはDiscordサーバーまでお気軽にご連絡ください。

discord.com

Join the Fedify/Hollo Discord Server!

Check out the Fedify/Hollo community on Discord - hang out with 84 other members and enjoy free voice and text chat.

Fedify: ActivityPub server framework
@fedify@hollo.social · Reply to Fedify: ActivityPub server framework

FedifyのWebFinger実装における脆弱性CVE-2025-23221に対するセキュリティアップデート（1.0.14、1.1.11、1.2.11、1.3.4）をリリースいたしました。すべてのユーザー様におかれましては、お使いのバージョンに応じた最新版への速やかなアップデートを推奨いたします。

脆弱性の詳細

セキュリティ研究者により、FedifyのlookupWebFinger()関数において以下のセキュリティ上の問題が発見されました：

  • 無限リダイレクトループによるサービス拒否攻撃（DoS）の可能性
  • プライベートネットワークアドレスへのリダイレクトを利用したSSRF（サーバーサイドリクエストフォージェリ）攻撃の可能性
  • リダイレクト操作による意図しないURLスキームへのアクセスの可能性

修正されたバージョン

  • 1.3.xシリーズ：1.3.4へアップデート
  • 1.2.xシリーズ：1.2.11へアップデート
  • 1.1.xシリーズ：1.1.11へアップデート
  • 1.0.xシリーズ：1.0.14へアップデート

変更内容

本セキュリティアップデートでは、以下の修正が実施されました：

  1. 無限リダイレクトループを防ぐため、最大リダイレクト回数（5回）の制限を導入
  2. 元のリクエストと同じスキーム（HTTP/HTTPS）のみにリダイレクトを制限
  3. SSRFを防止するため、プライベートネットワークアドレスへのリダイレクトをブロック

アップデート方法

以下のコマンドで最新のセキュアバージョンにアップデートできます：

# npmユーザーの場合
npm update @fedify/fedify

# Denoユーザーの場合
deno add jsr:@fedify/fedify

この脆弱性を責任を持って報告していただいたセキュリティ研究者の方に感謝申し上げます。迅速な対応が可能となりました。

本脆弱性の詳細については、セキュリティ勧告をご参照ください。

ご質問やご懸念がございましたら、GitHub Discussions、Matrixチャットスペース、またはDiscordサーバーまでお気軽にご連絡ください。

discord.com

Join the Fedify/Hollo Discord Server!

Check out the Fedify/Hollo community on Discord - hang out with 84 other members and enjoy free voice and text chat.

:rss: 窓の杜
@forest_watch_impress@rss-mstdn.studiofreesia.com

iPhoneとWindows間でファイル共有 ～「Phone Link」「Link to Windows」の新機能がテスト開始／Androidでは実現済みの機能がようやくiPhoneにも対応へ
forest.watch.impress.co.jp/doc