bonifartius 𒂼𒄄
@bonifartius@social.cleverlibre.org
- woke?
- bespoke!
- problems?
- yes, many.
- ,.-~-.,.-~-.,.-~ <°((((((((((>< ,.-~-.,.-~-.,.-~
- ,.-~-.,.-~-.,.-~ <°((((((((((>< ,.-~-.,.-~-.,.-~
- pronouns?
- sure, nouns are nice
state licensed lolbert and hypernatalist with a breeding kink. never watched rick & morty and i'm proud of it.
don't only rely on my words, read what happy customers wrote about me: "10/10 would buy again", "top seller, great value", "wildly incorrect", "teil des problems", "without imagination", "Repeated provocation using copy/paste.", "if you take a dump in my mentions, I just might notice the smell", "log out and never login again", "Du redest wirr.", "My brother in Christ, this is such a ridiculously dumb statement that I will no longer entertain this silly conversation.", "Auf Derailing-Diskussionen habe ich keine Lust. Finger über dem Blocken-Knopf.", "Wie gesagt, du kannst der Diskussion inhaltlich nicht folgen."
➡️ NO PRESSURE ⬅️ 💄NO DIAMOND💍
one day at a time.
Joined Jun 2020
bonifartius 𒂼𒄄
boosted
hey friends,
on may 19, 2023 an unknown user registered the domain name fedirelay.xyz and setup a fake mostr (nostr) relay to listen for requests on the fediverse.
on may 20, 2023 at 20:52 (utc) a user uploaded the attached document to poast. it was originally an obfuscated javascript file (unobfuscated and attached it here, renamed to .txt so you can view it in any editor).
what this javascript file does is take the viewers oauth token, encode it to make it look like a nostr pubkey and then forced the clandestine mostr relay to look up that user locally giving that server the encoded token all while appearing to be a legitimate mostr (nostr) bridge
i have taken steps to completely limit access to the admin api and corrected any CSP or other issues that could possibly have contributed to this, however most of you are still vulnerable to it. the default pleroma install serves media files on your root domain as a local folder (i.e. yourdomain.xyz/media) and the default CSP for any site is to allow executing scripts via the root domain. in order to prevent this you should take steps to either move your media from yourdomain.xyz/media to media.yourdomain.xyz (or any subdomain outside of your root domain) or perhaps by limiting the CSP for that subdirectory via nginx configuration.
if you are an instance owner, the obfuscated file hash is `b2977f2d97f598d2ebd6dcf37afd9047b5da2b6dc95a7b2824fb111c906fb117` so you can search yourdomain.xyz/media/b2977f2d97f598d2ebd6dcf37afd9047b5da2b6dc95a7b2824fb111c906fb117.js and see if you have it on your server.
sorry to anybody i let down but i could never have foreseen this level of sophistication and i would not have ever expected it. now that we are aware of it, we will be more diligent in the future. thanks for being here with us still friends
on may 19, 2023 an unknown user registered the domain name fedirelay.xyz and setup a fake mostr (nostr) relay to listen for requests on the fediverse.
on may 20, 2023 at 20:52 (utc) a user uploaded the attached document to poast. it was originally an obfuscated javascript file (unobfuscated and attached it here, renamed to .txt so you can view it in any editor).
what this javascript file does is take the viewers oauth token, encode it to make it look like a nostr pubkey and then forced the clandestine mostr relay to look up that user locally giving that server the encoded token all while appearing to be a legitimate mostr (nostr) bridge
i have taken steps to completely limit access to the admin api and corrected any CSP or other issues that could possibly have contributed to this, however most of you are still vulnerable to it. the default pleroma install serves media files on your root domain as a local folder (i.e. yourdomain.xyz/media) and the default CSP for any site is to allow executing scripts via the root domain. in order to prevent this you should take steps to either move your media from yourdomain.xyz/media to media.yourdomain.xyz (or any subdomain outside of your root domain) or perhaps by limiting the CSP for that subdirectory via nginx configuration.
if you are an instance owner, the obfuscated file hash is `b2977f2d97f598d2ebd6dcf37afd9047b5da2b6dc95a7b2824fb111c906fb117` so you can search yourdomain.xyz/media/b2977f2d97f598d2ebd6dcf37afd9047b5da2b6dc95a7b2824fb111c906fb117.js and see if you have it on your server.
sorry to anybody i let down but i could never have foreseen this level of sophistication and i would not have ever expected it. now that we are aware of it, we will be more diligent in the future. thanks for being here with us still friends
"false balance" cries the fascist.
@m0urs die grünen würden eher nen atomkraftwerk havarieren lassen als zurücktreten ;)
bonifartius 𒂼𒄄
boosted
@lain thank you for being vigilant about these fixes
bonifartius 𒂼𒄄
boosted
@graf sorry you had to experience first before we found it, at least it should be fixed in the future.
bonifartius 𒂼𒄄
boosted
Alright, we found a second exploit that is much worse than the first one I found, it involves a bug in our oembed parser. A new release is being prepared right now. Unless there's a third exploit, this can be mitigated by disabling rich media in the pleroma settings. Frontends other than pleroma-fe might also be not vulnerable.
What alex is recommending here will also fix the issue, so you can do that as well:
https://gleasonator.com/notice/AW3PsTi4WCWEUbN0uO
What alex is recommending here will also fix the issue, so you can do that as well:
https://gleasonator.com/notice/AW3PsTi4WCWEUbN0uO
bonifartius 𒂼𒄄
boosted
Pleroma / Akkoma / Rebased need to be patched, but here’s how you can secure your site without any code changes:
yoursite.com/media -> media.yoursite.com yoursite.com/proxy -> proxy.yoursite.com
To do this, add the following configuration to your site:
config :pleroma, Pleroma.Upload,
base_url: "https://media.yoursite.com"
config :pleroma, :media_proxy,
base_url: "https://proxy.yoursite.com"
You will need to add DNS records for the subdomains. For media, it’s recommended to use an S3 bucket (or equivalent). For the proxy, you can simply point the DNS to the same server, and edit your Nginx file. A sample Nginx file is here: https://termbin.com/tj7q You’re on your own setting up letsencrypt, etc.
Here’s what does NOT work:
A CSP one-liner in Nginx. That’s not how CSP works. CSP affects the page it was loaded on, not other resources. This is straight up misinformation.
Disabling the media proxy on its own. The media proxy does appear to be vulnerable, but it cannot be the only action you take.
bonifartius 𒂼𒄄
boosted
Thanks Alex, thanks Lain.
bonifartius 𒂼𒄄
boosted
So my current evaluation of this is:
1. There's a bug in pleroma oembed parsing that allows html injection, this is probably the one used for the attack on poast. You need to have rich media (i.e. website previews) enable for that to be dangerous.
2. There's a second exploit that I found first, having to with the CSP settings for /proxy. The nginx snippet i posted fixes that, but it doesn't fix the first issue.
The used exploit might have been a different one altogether, but at least these two can absolutely be used to steal your oauth tokens.
So what you should do in my opinion is to deactivate rich media and add the nginx snippet i posted. If you can, you should also implement alex's suggestion of moving media and proxy to subdomains (see here: https://gleasonator.com/notice/AW3PsTi4WCWEUbN0uO), as this will fix these two issues plus potential additional ones that we don't know of yet.
you should also delete ALL oauth tokens, at least if you have used rich media or media proxy. you can do this by entering `delete from oauth_tokens` in psql.
1. There's a bug in pleroma oembed parsing that allows html injection, this is probably the one used for the attack on poast. You need to have rich media (i.e. website previews) enable for that to be dangerous.
2. There's a second exploit that I found first, having to with the CSP settings for /proxy. The nginx snippet i posted fixes that, but it doesn't fix the first issue.
The used exploit might have been a different one altogether, but at least these two can absolutely be used to steal your oauth tokens.
So what you should do in my opinion is to deactivate rich media and add the nginx snippet i posted. If you can, you should also implement alex's suggestion of moving media and proxy to subdomains (see here: https://gleasonator.com/notice/AW3PsTi4WCWEUbN0uO), as this will fix these two issues plus potential additional ones that we don't know of yet.
you should also delete ALL oauth tokens, at least if you have used rich media or media proxy. you can do this by entering `delete from oauth_tokens` in psql.
bonifartius 𒂼𒄄
boosted
bonifartius 𒂼𒄄
boosted
Ukrainische Täterschaft bei Nordstream-Sprengung wird immer wahrscheinlicher https://www.derstandard.at/jetzt/livebericht/3000000134614/ukrainische-urheberschaft-bei-nordstream-sprengung-wahrscheinlich?ref=mastodon #International #Ukraine #Europa
@skells i never really thanked you for hitting me in the mouth! really perfect timing back then to save my sanity 
@admitsWrongIfProven @Fusel
mein punkt ist:
ich bin seit ewigkeiten am umweltschutz interessiert und lebe entsprechend, vermutlich länger als manche aktivisten von heute leben.
was die LG macht ist nicht mein geschmack weil es im wesentlichen heisse luft ist. die zeit und das geld könnte sinnvoller eingesetzt werden. das befriedigt das ego natürlich nich so gut. der staat treibt aber es natürlich zu weit. wie immer.
mein problem ist, leute die zwei jahre lang repressalien ausgesetzt waren (man musste ja dankbar sein noch lebensmittel zu bekommen als ungeimpfter volksschädling) während ein großteil genau der klientel aus der sich die letzte generation rekrutiert noch gejubelt und gejohlt hat werden jetzt sicher nichts sagen.
ich sage jedenfalls nichts dazu. ich kenne genug leute die früher was gesagt hatten und jetzt nichts mehr dazu sagen. das sind alles keine leute die journalisten verprügeln. vielleicht könnte man sie "esoteriker" nennen. jedenfalls wollten sie alle nur in ruhe gelassen werden, über ihren körper selbst entscheiden. die haben sich _alle_ "ausgeklinkt".
wer den staat nutzen will um seine ziele mit gewalt durchzusetzen wird am ende selbst unter dem staat leiden wenn der wind sich mal wieder dreht.
freiheit stirbt mit sicherheit.
@Fusel @admitsWrongIfProven was widerspricht sich da?
@Fusel @admitsWrongIfProven im übrigen ließt du meine antworten nicht komplett, sonst würdest du den quatsch nicht so schreiben :)
> mich hätte das früher auch aufgeregt was da aktuell passiert von staates seite, es ist ja auch vollkommen überzogen und falsch.
ich habe gesehen das mich 50% der bevölkerung im zweifelsfall bis ins lager schicken würden wenn sie aufgepeitscht genug sind.
das war ungefähr der zustimmungswert bei einer strafbewehrten impfpflicht. bei den grünenwählern - aus denen sich vermutlich die lg zum großteil rekrutiert - ist die zustimmung vermutlich eher noch höher gewesen.
aber ich bin jetzt der schlimme, is klar.
@Fusel @admitsWrongIfProven
typisch für was?
@Fusel @admitsWrongIfProven
vermutlich haben wir einfach in verschiedenen zeitachsen gelebt oder so.
querdenker wurden vom verfassungsschutz beobachtet, der "anführer" war wegen windiger anschuldigungen für monate in uhaft, in den medien war hetzjagd auf alle die gegen die maßnahmen was gesagt haben, die polizei hat spaziergänge aufgelöst weil demos nicht mal mehr angemeldet werden konnten, etc.
grade aus dem linken und grünen lager kamen widerliche ideen und aussagen von leuten die vorgeben die grössten demokraten und humanisten unter der sonne zu sein.
wenn die letzten jetzt wenig bis keine unterstützung bekommen ist das zum grossteil eigene schuld. ich bin mir relativ sicher z.b. die "esos" unter den "covidioten" hätten sympathien für umweltthemen.
mich hätte das früher auch aufgeregt was da aktuell passiert von staates seite, es ist ja auch vollkommen überzogen und falsch. ich habe aber schlicht kein mitleid mehr über für wendehälse die vor zwei jahren am liebsten lager für impfgegner aufgemacht hätten bzw. gegen diese aussagen nichts unternommen haben weil es sie ja nicht betrifft und jetzt noch aufarbeitung als unwichtig erachten. und da ist die schnittmenge mit den letzten halt verdammt gross.
erst den starken staat herbeiwünschen um andere zu drangsalieren und jetzt heulen und zähneklappern wenn eben dieser staat einen selbst unterdrückt ist albern.
kann auch alles einfach ne psyop gewesen sein um genau diese "mir egal" stimmung in der bevölkerung zu erzeugen und verstärken.
aber das ist mir auch egal. ich hab halt die #doppelmoral gepachtet xD
bonifartius 𒂼𒄄
boosted
@gabriel Obviously because it's a CIA operation.
- woke?
- bespoke!
- problems?
- yes, many.
- ,.-~-.,.-~-.,.-~ <°((((((((((>< ,.-~-.,.-~-.,.-~
- ,.-~-.,.-~-.,.-~ <°((((((((((>< ,.-~-.,.-~-.,.-~
- pronouns?
- sure, nouns are nice
state licensed lolbert and hypernatalist with a breeding kink. never watched rick & morty and i'm proud of it.
don't only rely on my words, read what happy customers wrote about me: "10/10 would buy again", "top seller, great value", "wildly incorrect", "teil des problems", "without imagination", "Repeated provocation using copy/paste.", "if you take a dump in my mentions, I just might notice the smell", "log out and never login again", "Du redest wirr.", "My brother in Christ, this is such a ridiculously dumb statement that I will no longer entertain this silly conversation.", "Auf Derailing-Diskussionen habe ich keine Lust. Finger über dem Blocken-Knopf.", "Wie gesagt, du kannst der Diskussion inhaltlich nicht folgen."
➡️ NO PRESSURE ⬅️ 💄NO DIAMOND💍
one day at a time.
Joined Jun 2020
