Next.js v16.2.11リリース、High4件・Moderate5件のセキュリティ修正を実施
ワンポイントNext.js v16.2.11、High4件を含む脆弱性9件をまとめて修正
Next.jsのv16.2.11がリリースされ、App RouterやServer Actions、Image Optimization APIなどに関わるセキュリティ脆弱性がまとめて修正されました。深刻度Highが4件、Moderateが5件と、セキュリティ修正に特化したリリースです。
Primary Sources Only
公式ブログとリリースノートを、日本語の記事にして毎朝届けます。
まとめサイトの記事や機械翻訳ではなく、一次情報だけを追っています。興味のあるトピックだけ選んで読めます。
- 一次情報のみ公式ブログ・リリースノートだけを収集、二次情報は扱いません
- 毎朝ダイジェスト興味トピックの新着記事をメールでまとめて
- 原文リンク明記出典と原文へのリンクを必ず併記
トピック: security解除
tech/ai news
Factoryが自社AIエージェント「Droid」とVercelで数千万リクエスト規模のバックエンドを運用
ワンポイント非エンジニアも自社AIエージェントでツールを自らデプロイ
AIによるソフトウェア開発自動化を手がけるFactoryが、Next.jsを本格的なクラウドバックエンドとして活用し、1日あたり数千万件のAPIリクエストをp95応答時間350ms以下で処理していることをVercelが紹介しました。専任のインフラチームを持たず、非エンジニア職も自社AIエージェント「Droid」を使って社内ツールを自らデプロイしている点が特徴です。
tech/ai news
Vercel WAF for Blob が正式リリース、Blobストアをエッジで保護可能に
ワンポイントBlobストアもデプロイ同様にWAFで保護、課金前にブロック可能
Vercelは、ベータ提供していた「Vercel WAF for Blob」を正式リリース(GA)し、全プランの本番環境で利用可能にしました。デプロイメント保護と同じカスタムルールでBlobストアへのアクセスを制御でき、コードやURLの変更は不要です。ベータ期間中に設定済みのルールはそのまま引き継がれます。
Dependabotに「3日間のクールダウン」が新規追加、依存関係の脆弱性対応に猶予期間
ワンポイントDependabotの更新PRが新規リリースから3日間待つように
GitHubは依存関係自動更新ツールDependabotに、新たに3日間のデフォルトのクールダウン期間を導入しました。これにより、パッケージの新バージョンがリリースされてから3日間はDependabotによる更新プルリクエストの発行が遅延されます。メンテナーやセキュリティ研究者がリリース直後に見つかった問題に対応する時間を確保し、問題のあるバージョンが利用者のコードに取り込まれるリスクを減らすことが目的です。
Cloudflare、「Agents Week」開始を告知 ― AIエージェント時代のクラウド基盤を再考
ワンポイントCloudflareが「人間のブラウザ」から「AIエージェント」向けインフラへの転換を予告
Cloudflareは公式SNSで「Agents Week」の開始を発表しました。人間のブラウザ利用を前提としてきたクラウド基盤を、自律的なAIエージェントに対応させるための仕組みを1週間かけて紹介する企画です。ストレージ・実行環境・セキュリティという3つの基盤要素が焦点になります。
Cloudflare、AIプロンプトの内容と意図を分析し企業データ漏洩を防ぐ新機能を発表
ワンポイントAIプロンプトの意図を分析し企業機密の漏洩をブロック
CloudflareがBlueskyの公式アカウントで、AIへの入力プロンプトの内容と意図を分析し、機密性の高い企業データが公開AIモデルに流出することを防ぐ新機能を発表しました。従業員が生成AIサービスに社内情報を入力してしまう「シャドーAI」リスクへの対策として位置づけられています。詳細は原文リンク先で案内されています。
pnpm 12 Beta 4公開、名前付きレジストリの脆弱性を修正しロックフォーマットを強化
ワンポイントnamed registriesのパッケージ差し替えリスクをロック修正で解消
pnpmの最新ベータ版で、named registriesを使う環境におけるパッケージ差し替えリスクを修正するセキュリティアップデートが行われました。ロックファイルにレジストリ情報を刻む「レジストリ修飾キー」の導入に加え、npmjs:エイリアスの標準搭載やpeer依存解決の高速化、node-gypの同梱復活なども含まれています。
Redis 6.2.23公開、Stream関連の脆弱性修正でRCEリスクに対応
ワンポイントStream RESTOREの脆弱性でRCEの恐れ、Redis 6.2.23で緊急修正
Redisプロジェクトはバージョン6.2.23をリリースしました。今回はセキュリティ更新のみで、Streamデータ構造のRESTORE処理に存在した脆弱性を修正しています。悪意のあるペイロードによりリモートコード実行につながる可能性があるため、早急な適用が推奨されます。
Redis 8.6.5リリース、RESTOREコマンド経由のRCE脆弱性を修正
ワンポイントRESTORE経由のRCE脆弱性2件を修正するセキュリティパッチ
Redisの8.6.5がセキュリティ修正を含むパッチとして公開されました。ストリームやRedisBloom/TDigestのRESTOREペイロードを悪用したリモートコード実行の脆弱性が修正され、あわせてCuckoo Filterのフェイルオーバー時データ消失を防ぐ修正も含まれています。
Redis 8.8.1リリース、RESTOREコマンド経由のRCEにつながる脆弱性を修正
ワンポイントRESTORE経由でRCEに至る恐れ、Redis 8.8.1で修正
Redisの公式GitHubリリースとして8.8.1が公開されました。RedisBloomおよびTDigestモジュールにおいて、悪意あるRESTOREペイロードがバッファオーバーフローを引き起こし、リモートコード実行に至る可能性のある脆弱性が修正されています。RedisBloomやTDigestを利用している環境では速やかな更新が推奨されます。
Redis 7.4.10がリリース、streamのRESTOREペイロードを悪用したRCE脆弱性を修正
ワンポイントstream RESTOREの不具合がRCEに繋がる恐れ、7.4.10で修正
Redisの安定版7.4.10が公開されました。攻撃者が加工したstream型のRESTOREペイロードを送ることで、2つのコンシューマーが同一のNACKを共有してしまい、use-after-freeを経て遠隔コード実行に至る可能性がある脆弱性が修正されています。公式は本リリースの緊急度を「SECURITY」と位置づけており、対象環境では速やかな更新が推奨されます。
Redis 7.2.15リリース、RESTOREコマンドの脆弱性を修正するセキュリティパッチ
ワンポイントRESTOREの脆弱性でRCEの恐れ、7.2.15で緊急修正
Redisの公式リリース7.2.15が公開され、緊急度「SECURITY」の修正が行われました。ストリームデータ構造のRESTORE処理に存在した脆弱性を修正するもので、悪用されるとリモートコード実行(RCE)につながる恐れがあったとされています。
pnpm 11.20公開、名前付きレジストリのパッケージ差し替え脆弱性を修正
ワンポイント名前付きレジストリのパッケージ取り違え脆弱性を修正
pnpmの新バージョン11.20.0がリリースされ、namedRegistries機能を使うプロジェクトに存在したパッケージ差し替えの脆弱性が修正されました。あわせて新しい組み込みエイリアスnpmjs:の追加、プロキシ設定関連のバグ修正、pnpm rebuildのパストラバーサル対策なども行われています。
Redis 8.2.8がリリース、RESTOREペイロード起因のRCE脆弱性2件を修正
ワンポイントRESTORE悪用のRCE脆弱性2件を修正、Redis 8.2.8が緊急リリース
Redisの最新パッチ8.2.8が公開されました。streamやRedisBloom/TDigestのRESTOREペイロードを悪用したリモートコード実行につながる脆弱性2件が修正されています。また、Cuckoo Filterのフェイルオーバー時のデータ消失を防ぐバグ修正も含まれています。
Redis 8.4.5リリース、RESTOREペイロード経由のRCE脆弱性を修正
ワンポイントRESTOREペイロード起因のRCE脆弱性を2件修正
Redisの新バージョン8.4.5が公開されました。クラフトされたRESTOREペイロードによってリモートコード実行につながる恐れのある脆弱性が2件修正されています。あわせて、Cuckoo Filterのフェイルオーバー時にデータが失われるバグも修正されました。
Cloudflareの調査で判明、BGPパスの約7割で「ORIGIN属性」が書き換えられている実態
ワンポイントBGPパスの約7割でORIGIN属性が書き換えられていた
Cloudflareが実施した詳細な調査により、インターネット上のBGPパスのうち約70%でORIGIN属性がトランジットプロバイダーによって書き換えられていることが判明しました。トラフィック上の優位性を得る目的で行われているとみられ、Cloudflareはこの慣行がもたらす影響を検証し、ルート選択からORIGIN属性を廃止すべきだと主張しています。
tech/ai news
Vercel WAF、Blobストアの保護にも対応 ベータ公開
ワンポイントBlobストアもコード変更なしでVercel WAFのルールで保護可能に
Vercelは、デプロイメントを保護してきたVercel WAFのルール(拒否・チャレンジ・レート制限など)をBlobストアにも適用できるようにしました。コード変更やBlob URLの変更なしに、既存のCDN経由の配信に保護スイッチを追加するだけで利用可能です。現在ベータとして全プランで提供されています。
JupyterLab 4.6.2リリース、5件のセキュリティ脆弱性を修正
ワンポイントJupyterLab 4.6.2は5件のXSS・アクセス制御脆弱性を修正
JupyterLabの最新パッチ4.6.2が公開されました。XSSや拡張機能のブロックリスト回避などを含む5件のセキュリティ脆弱性の修正が中心で、あわせてキーボードショートカットやフォーカス関連の不具合も解消されています。4.6系を利用中の開発者は早期の更新が推奨されます。
CloudflareがBGPの「ORIGIN属性」書き換え問題を指摘、約7割のパスで改ざんと判明
ワンポイントBGPパスの約7割でORIGIN属性がトラフィック誘導目的に改ざんされていた
CloudflareはBluesky上で、BGPパスの約70%でORIGIN属性がトランジットプロバイダーによって書き換えられていると報告しました。これは経路の正確性のためではなく、トラフィック誘導上の優位性を得るための操作だといいます。同社はこの実態をグローバルに調査し、BGPのルート選択においてORIGIN属性を廃止(deprecate)すべきだと主張しています。
GitHubが自社リポジトリの漏洩シークレット2万件超を9か月で「対応ゼロ」に
ワンポイント2万件超の漏洩アラートを9か月で全件対応完了
GitHubの公式Blueskyアカウントが、社内の15,000リポジトリで検出された2万件超のシークレットスキャニングアラートを9か月かけて処理し、未対応件数を「インボックスゼロ」にしたと報告しました。自社のセキュリティ機能を自社基盤に適用した取り組みの成果です。