CVE-2012-どさにっき 〜2012年10月上旬〜

2012年10月2日(火)

■ localhost の特別扱い

_ localhost というのはローカルなホストであって外部のホストではない。はず。なので、デフォルトで特別扱いしているアプリというのがたまにある、というのがちらっと近所で話題になって思い出したことを。

_ MySQL。サーバではなくクライアント側のライブラリ。この手の特別扱いでとびぬけておかしな挙動をしやがる。接続先ホストとして localhost を指定すると、127.0.0.1 でも ::1 でもなく、接続先を勝手に UNIX ドメインソケットに変更してつなぎにいきやがる。 詳細。ライブラリが勝手にやってるので、それを利用するアプリはすべてこのような挙動になる。localhost で待ち受けているのが自ホストの mysql サーバではなく、他ホストで動いている mysql に接続するために掘ったトンネルだったりするとこの罠にハマる。というかハマった。ポート転送してるのに、存在しない UNIX ドメインソケットにつなぎにいってエラーになる。ふざけんなと。TCP より UNIX ソケットの方が効率がいいのかもしれないけどさぁ、さすがにそれはやりすぎだろうよ。

_ これ以外では、dovecot は平文認証を禁止する設定になっていても、localhost からの接続では許容してしまう、なんて特別扱いも。

_ こういうの、デフォルトの設定ファイルでそうなっている、という程度ならまあ別にいいんだけれど、ソースにハードコーディングされてる、とかになると、いざひっかかったときの調査がめんどくさすぎて泣ける。まじかんべんしてくださいですよ。

_ つーことで、動作テストで telnet localhost port とかやるときはよーく注意が必要ですよのこと。

2012年10月8日(月) 体育の日

■ 紅葉見物

_ わざわざ北海道まで見にいった大雪山の紅葉が期待はずれだったので、かわりにこの3連休は涸沢の紅葉を見に行こうと考えた。のだが、金曜の夕方ごろからどうにも眠たくて、いつものように金曜の夜中のうちに現地着車中泊をしようとすると居眠りで事故りそうな気配。しかも上高地周辺の駐車場が金曜夕方の時点ですでにどこも満車という噂まで流れてきて断念。

_ それ以外でこの時期に紅葉してるところというと、草津白根山かな。 5月に行ったばかりだけど、まあいいや、気にせず行こう。…ええと、たしかに見事に色づいてます。が、ガスっててこれじゃ何も見えない。天気予報が曇りだったのは承知してたので、雲が空の上にあるのはまあしかたないけど、まさに雲の中にいるんじゃさすがにダメだ。5月のときに行こうとして行けなかった毛無峠にも行ってみたけどガスの中だし、志賀高原の方も真っ白。残念すぎる。

_ 景色を堪能すべく山の中を歩きまわるつもりだったけど、あまりにダメすぎるので、予定を変更(そもそも草津白根に来ていること自体が予定外なんだが)。地図を見て意外と近いことに気づいてしまったので戸隠神社へ。…ええと、なんでこんなに人がいるの？ なんかイベントがあるわけでもなさそうだし、このあたりは紅葉にはまだまだ早いし、それなのになんで臨時のシャトルバス運行とかしてるの？ さっぱり理由がわからん。で、肝心の戸隠神社は、奥社の参道は見事だったけど、それ以外は、うーん。こんな山奥の神社にここまで人が集まるのか本気でわからん。

_ で、翌日。というか今日。白馬岳の麓、栂池自然園へ。ここも来る予定はなかったんだけど、戸隠から意外と近かったので。が、予定はしていなかったけど、栂池の紅葉は期待していいよね。しかも今朝は見事に雲ひとつない青空だよ。そしてロープウェイをおりて目の前に広がる絶景。いやほんとすばらしい。これで背景の白馬三山が冠雪していたらほんとに見事だったんだろうけど、さすがにそれは高望みしすぎか。

_ 白馬岳

左から白馬鑓ヶ岳、杓子岳、白馬岳の白馬三山

もいっちょ白馬岳

毛無峠の超有名なグンマー入口。天気が良ければここも紅葉が見事だったはずなんだけど…

2012年10月9日(火)

■ 無題

_ 会社のトイレが人感センサーによる自動照明になったとの張り紙があった。誰もいないときは真っ暗で、人がトイレに入ってくると照明がつくというアレ。3連休の間になんか入れ替えてたんだろうか。しかし、あれはクソですよ。トイレだけに。

_ 誰もいないトイレでしばらくうんこふんばってると、人がいなくなったと判断されていきなり真っ暗になるの。ふざけんなっての。しかたないからふしぎなおどりでセンサーに自分の存在をアピールするはめに。パンツおろしたまんまで。マヌケったらありゃしない。誰だこんなアホな発明したやつ。なんでも自動にすりゃいいってもんじゃないだろ。

_ 監視カメラではないけどもある意味内部を監視するものともいえるわけだし、トイレという究極なプライベート空間にああいうものを設置するのはどうかと思うんだが。

2012年10月10日(水)

■ またおまえか

_ CVE-2012-5166: Specially crafted DNS data can cause a lockup in named。5分くらい意味わかんなかった。キャッシュサーバなら lookup するの当たり前じゃない。なんでそれが穴なの？ 権威サーバが lookup するならおかしいけど。しばらく悩んで、lookup ではなく lockup であることにようやく気づく。視力 0.1 未満でランドルト環の切れ目が認識できないからなー(←ちゃんと眼鏡かけてるだろ)。

_ 毎年7月の恒例行事どころか、毎月の恒例行事になりつつあるな。アホじゃないのか。いいかげんにしてくれよ。