Untitled attachment

Notices where this attachment appears

1. Embed this notice
   草莓酱? :verified: (strawberry@m.cmx.im)'s status on Sunday, 04-Dec-2022 10:54:09 JST 草莓酱? :verified:

   Mastodon的ActivityPub实现中的一个安全漏洞被利用来攻击Mastodon网站，本站也受到影响——公共时间线在很长一段时间内持续充斥着垃圾帖子和用户，大大消耗了服务器资源。目前，我们已经封锁了恶意滥用该漏洞的域名及其28,000余个随机子域。根据用户反馈，该安全漏洞是由本站站内用户搜索恶意实例的用户引起的，每次都会返回2个随机用户名，由于Mastodon缺乏对递归的限制，导致服务器陷入无限抓取的循环。

   Ref: https://fedibird.com/users/yustier/statuses/109448938246497764