Conversation

Notices

1. Embed this notice
   藤井太洋, Taiyo Fujii (taiyo@ostatus.taiyolab.com)'s status on Sunday, 04-Dec-2022 08:56:39 JST 藤井太洋, Taiyo Fujii

   • 草莓酱? :verified:

   件のマストドン攻撃に関しては @strawberry さん報告で機序がよくまとまっています。

   https://m.cmx.im/@strawberry/109452307277494843

   • Embed this notice
     HyoYoshikawa (hyoyoshikawa@toot.blue)'s status on Monday, 05-Dec-2022 21:27:38 JST HyoYoshikawa

     in reply to

     • かき@GNUsocialJP
     • 草莓酱? :verified:

     @taiyo @strawberry

     例によって機械翻訳を貼ります

     MastodonのActivityPub実装のセキュリティバグがMastodonサイトを攻撃するために利用され、当サイトも影響を受けました。公共タイムラインは長い間ゴミ投稿とユーザーでいっぱいになり、サーバー資源を大幅に消費しました。現在、私たちはこの脆弱性を悪意的に悪用したドメインとその28,000個余りのランダムサブドメインをブロックしました。ユーザーのフィードバックによると、このセキュリティバグは当サイト内のユーザーが悪意のある実例を検索したユーザーによって引き起こされ、毎回2つのランダムユーザー名が返されます。Mastodonの再帰に対する制限がないため、サーバーが無限捕獲の循環に陥ります。