Brotli脆弱性の警告に「オオカミ少年」論争 海外エンジニアが激論
姉妹サイトの新着
海外掲示板4chanの技術板「/g/」で、広く使われている圧縮ライブラリ「Brotli」の脆弱性をめぐる警告スレが伸びた。投稿者はCVSS評価9.2/10という深刻な脆弱性だとしてパッケージの更新を呼びかけたが、スレでは「また煽りか」「PHPやRustのsudo-rsの時も結局何も起きなかった」と冷笑する声が相次いだ。一方で「CVEが出た時点でパッチを当てるのが基本」とする反論もあり、Node.jsのexpressやundiciが実際に解凍処理をしているかどうかという技術的な議論にも発展した。
brotliパッケージを忘れずにアップグレードしておけよ。使ってるパッケージにバンドルされている場合は(ディストリのパッケージ管理がおかしいせいで)別途直す必要があるから気をつけろ。DropboxのRust実装のbrotliだけを使っているならNO WORRIES、お前は最初から無関係だ。みんな気をつけて。
またこの手の詐欺か。この『激ヤバ野菜(ブロッコリー)脆弱性』を信じちゃうタイプは、コロナワクチンも打ったし、NFTも買ったし、例の『激ヤバPHP脆弱性』のせいでサーバーを止めたクチだろ。
その言い訳には乗らないぞ
PoC(実証コード)を出せ、話にならないなら黙ってろ
PoC(実証コード)を出せ、話にならないなら黙ってろ
>>8 >>10
うわーん うわーん 本物じゃないやーい うわーん
うわーん うわーん 本物じゃないやーい うわーん
>>12
かわいいこと言うね。お前らみたいな煽り屋が/g/でスパムしなければ、俺が一日おきにハッキングされてる設定になってることなんて気づきもしなかったよ。
最初はPHPのせいでハッキングされ、次はRustのsudo-rsの『毎日の脆弱性』のせいでハッキングされ、今度はブロッコリー(brotli)のせいでハッキングされるってか。
現実には何も起きないのが不思議だよな。何の結果にもならない。
かわいいこと言うね。お前らみたいな煽り屋が/g/でスパムしなければ、俺が一日おきにハッキングされてる設定になってることなんて気づきもしなかったよ。
最初はPHPのせいでハッキングされ、次はRustのsudo-rsの『毎日の脆弱性』のせいでハッキングされ、今度はブロッコリー(brotli)のせいでハッキングされるってか。
現実には何も起きないのが不思議だよな。何の結果にもならない。
>>13
ハッキングされるのを待つんじゃない。脆弱性が見つかった時点でパッチを当てるんだよ、深刻度が高ければ即座にだ。CVEはそのためにある。今回のCVEは9.2/10という評価だぞ。
ハッキングされるのを待つんじゃない。脆弱性が見つかった時点でパッチを当てるんだよ、深刻度が高ければ即座にだ。CVEはそのためにある。今回のCVEは9.2/10という評価だぞ。
>>15
俺はパッチを当てないし、ハッキングもされない。お前らが騒いでたPHPの『脆弱性』だって、世の中のサーバーの8割は未対応のままなのに何も起きてないじゃないか。それで?
俺はパッチを当てないし、ハッキングもされない。お前らが騒いでたPHPの『脆弱性』だって、世の中のサーバーの8割は未対応のままなのに何も起きてないじゃないか。それで?
>>17
パッケージを一度も更新しない?OSも更新しない?まさかWindows XPを使ってるのか?
『8割が未対応』って、お前がその全部に直接聞いたのか?管理者も気づけないボットネットやルートキットを見抜ける超人様か何かなのか?
パッケージを一度も更新しない?OSも更新しない?まさかWindows XPを使ってるのか?
『8割が未対応』って、お前がその全部に直接聞いたのか?管理者も気づけないボットネットやルートキットを見抜ける超人様か何かなのか?
>>17
URL出してみろよ、強がり野郎
URL出してみろよ、強がり野郎
>>17
『8割が未対応』ってソースは?
『8割が未対応』ってソースは?
>>『絶対にやらない』なんてどこで言った?
お前らフィアモンガー(煽り屋)って、本当に話が通じない連中なんだな。書いてある言葉すら理解できてないじゃないか。
>>19
画像参照
お前らフィアモンガー(煽り屋)って、本当に話が通じない連中なんだな。書いてある言葉すら理解できてないじゃないか。
>>19
画像参照
>>1
俺はGoogleのゴミなんて使わない。brotliはGoogleが作って推してるものだろ。
アメリカの大企業が何かを推してきたら、それには近寄らないようにしてるんだ。これで影響を受けるのは、企業の言いなりになってる連中だけだろ。
俺はGoogleのゴミなんて使わない。brotliはGoogleが作って推してるものだろ。
アメリカの大企業が何かを推してきたら、それには近寄らないようにしてるんだ。これで影響を受けるのは、企業の言いなりになってる連中だけだろ。
>>31
『使ってない』とか言ってるけど、brotliに対応したブラウザを使わずにこのコメントを書くことはできないし、途中の複数のサービスもbrotliに対応してるはずだぞ。
『使ってない』とか言ってるけど、brotliに対応したブラウザを使わずにこのコメントを書くことはできないし、途中の複数のサービスもbrotliに対応してるはずだぞ。
>>20
brotliはプロトコルレベルでネゴシエーションされる。nodejsの場合、ソフトウェアが何らかのhttp通信をする以上、それを自分でコントロールする方法はない。だから悪用は簡単だ。
brotliはプロトコルレベルでネゴシエーションされる。nodejsの場合、ソフトウェアが何らかのhttp通信をする以上、それを自分でコントロールする方法はない。だから悪用は簡単だ。
>>18
『管理者も気づけないボットネットを見抜ける超人様か』って?
違う、彼自身がそのボットネットの運営者なんだよ。
『管理者も気づけないボットネットを見抜ける超人様か』って?
違う、彼自身がそのボットネットの運営者なんだよ。
>>48
俺の神はSam Altmanだ。彼が『この脆弱性は深刻だ』と言えば、それは深刻なんだ。証拠が一切無くても、実際にそれを機能させられる人間が誰もいなくてもね。
俺の神はSam Altmanだ。彼が『この脆弱性は深刻だ』と言えば、それは深刻なんだ。証拠が一切無くても、実際にそれを機能させられる人間が誰もいなくてもね。
>>1
今の時代にC言語やC++で何かを作るのは違法にして、刑務所に送るべきだと思う
今の時代にC言語やC++で何かを作るのは違法にして、刑務所に送るべきだと思う
他サイトの新着
>>53
nodejsのデフォルトのhttp.createServer()は、そもそも解凍処理を一切やらない。クライアントが送るフォームにはcontent-encodingが付かないんだから、解凍する必要自体がない。
お前らサイバーセキュリティの煽り屋は、負け続けてるな。何も分かってないくせに語るなよ。
nodejsのデフォルトのhttp.createServer()は、そもそも解凍処理を一切やらない。クライアントが送るフォームにはcontent-encodingが付かないんだから、解凍する必要自体がない。
お前らサイバーセキュリティの煽り屋は、負け続けてるな。何も分かってないくせに語るなよ。
>>55
『デフォルトのhttp.createServer()』なんて、実際には誰も使ってない。みんなexpressかkoaを、解凍処理をするbody parserと一緒に使ってる。そこがポイントなんだよ。それにundici(nodeのfetch実装)の話にも答えてないぞ。
『デフォルトのhttp.createServer()』なんて、実際には誰も使ってない。みんなexpressかkoaを、解凍処理をするbody parserと一緒に使ってる。そこがポイントなんだよ。それにundici(nodeのfetch実装)の話にも答えてないぞ。
>>59
『誰も使ってない』って、俺は使ってるぞ。
『みんなexpressを使う』と言うが、expressjsもデフォルトでは圧縮(解凍)処理をしない。
『誰も使ってない』って、俺は使ってるぞ。
『みんなexpressを使う』と言うが、expressjsもデフォルトでは圧縮(解凍)処理をしない。
>>59
『body parserと一緒に』と言うが、そもそもリクエストボディは圧縮されていない。
『body parserと一緒に』と言うが、そもそもリクエストボディは圧縮されていない。
brotliはC言語で書かれている。つまり現代には向いていない。
>>56
それは正しい指摘だ。webpライブラリがゼロクリックエクスプロイトにつながったこと、みんな忘れてるよな。
それは正しい指摘だ。webpライブラリがゼロクリックエクスプロイトにつながったこと、みんな忘れてるよな。
>>58
それのどこが『イタいこと言ってる』んだ?単なる事実だろ。
それのどこが『イタいこと言ってる』んだ?単なる事実だろ。
この話題の背景と論点
BrotliはGoogleが開発した圧縮アルゴリズムで、主要ブラウザやCDNに標準搭載されており、影響範囲が大きい分、脆弱性が実際に悪用されやすいかどうかで評価が分かれやすい。スレで対立したのは「CVEが出た時点でパッチを当てるべき」という予防的な立場と、「過去のPHPやRustの脆弱性警告も結局実害が出なかった」という経験的な懐疑論で、後者は4chan /g/特有の煽り文化とも結びついている。技術的な争点は、Node.jsの標準サーバーやExpress、fetch実装のundiciが実際に圧縮データを解凍する経路を持つかどうかで、ここが具体的な攻撃可能性を左右する。なお2023年には画像ライブラリlibwebpの脆弱性が実際にゼロクリック攻撃に使われた例があり、懐疑論が常に正しいとは限らない点は留意したい。
※本記事は海外掲示板 4chan /g/ (Technology) のスレッド「SECURITY NOTICE」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
この記事のリアクション
まだコメントはありません。