[雑談] いろいろ。

• 「XZ Utils」にバックドア、オープンソースエコシステム全体の信頼を揺るがす事態に - 窓の杜

「XZ Utils」にバックドア、オープンソースエコシステム全体の信頼を揺るがす事態に／0.5秒の遅延からたまたま発覚、数年をかけた周到なやり口が明るみに

　Linux環境で広く利用されているツール「XZ Utils」に3月29日、バックドアが発見されたとのこと（CVE-2024-3094）。Red Hatが評価した「CVSS 3」のベーススコアは、「10.0」（Critical）。長い時間をかけてプロジェクトオーナーの信頼を勝ち取り、メンテナンスを任された開発者が意図的に混入させたという悪質性や、当該ツールが複数の主要なLinuxディストリビューションで採用されており、「OpenSSH」をはじめ影響が広範囲に及ぶ点などが話題を呼び、オープンソースソフトウェアのサプライチェーンのあり方が問われる事態となっている。

https://forest.watch.impress.co.jp

• Red HatやDebianなどLinuxディストリビューションの組込み圧縮ツール「XZ Utils」に悪意のあるバックドアが仕掛けられていたことが発覚 - GIGAZINE

Red HatやDebianなどLinuxディストリビューションの組込み圧縮ツール「XZ Utils」に悪意のあるバックドアが仕掛けられていたことが発覚

LinuxディストリビューションのDebianやRed Hatで使用されている圧縮ツールの「XZ Utils」に、悪意のあるバックドアが仕込まれていたことが明らかになりました。

https://gigazine.net

• XZ Utilsの脆弱性 CVE-2024-3094 についてまとめてみた - piyolog

XZ Utilsの脆弱性 CVE-2024-3094 についてまとめてみた - piyolog

2024年3月29日、Linux向け圧縮ユーティリティとして広く利用されているXZ Utilsに深刻な脆弱性 CVE-2024-3094 が確認されたとして、研究者やベンダがセキュリティ情報を公開しました。この脆弱性は特定の条件下においてバックドアとして悪用される恐れがあるものとみられており、当該ソフトウエアのメンテナのアカウントにより実装されたソフトウエアサプライチェーン攻撃の可能性が指摘されています。ここでは関連する情報をまとめます。 脆弱性の概要 xzとは主要なLinuxディストリビューションに含まれる汎用的なデータ圧縮形式で、今回問題が確認されたのはその圧縮・解凍ユーティリティであるl…

https://piyolog.hatenadiary.jp

• xz-utils backdoor situation · GitHub

xz-utils backdoor situation

xz-utils backdoor situation. GitHub Gist: instantly share code, notes, and snippets.

https://gist.github.com

• Threat Brief: XZ Utils Vulnerability (CVE-2024-3094)

Threat Brief: Vulnerability in XZ Utils Data Compression Library Impacting Multiple Linux Distributions (CVE-2024-3094)

An overview of CVE-2024-3094, a vulnerability in XZ Utils impacting multiple Linux distributions, and information about how to mitigate.

https://unit42.paloaltonetworks.com

• Frequently Asked Questions About CVE-2024-3094, A Backdoor in XZ Utils - Blog | Tenable®

Frequently Asked Questions About CVE-2024-3094, A Backdoor in XZ Utils

Frequently asked questions about CVE-2024-3094, a supply-chain attack responsible for a backdoor in XZ Utils, a widely used library found in multiple Linux distributions.

https://www.tenable.com

• xzにバックドアが混入した件のまとめ #Security - Qiita

xzにバックドアが混入した件のまとめ - Qiita

本記事は4月1日13:30（JST)時点で判明している事実をまとめたものです。誤りがあればコメントでお知らせください。発覚から数日経過していますが、情報が錯そうしている部分もあり、誤りが含まれてい…

https://qiita.com

• 欧米で警戒されるロシア製ソフト、日本政府が使用していた　どんなリスクがあるのか：世界を読み解くニュース・サロン - ITmedia ビジネスオンライン

欧米で警戒されるロシア製ソフト、日本政府が使用していた　どんなリスクがあるのか

日本の中央省庁などの公的機関が、欧米で警戒されているロシア製ソフトウェアを使用していることが分かった。日本各地の国土情報や、港湾などの施設情報が国外に漏れる可能性もある。リスクを放置せずにしっかりと対応するべきだ。

https://www.itmedia.co.jp

• 「TikTokは事実上のキーロガー」と専門家、知らないうちにユーザーを侵害する「アプリ内ブラウザ」の脅威とは？ - GIGAZINE

「TikTokは事実上のキーロガー」と専門家、知らないうちにユーザーを侵害する「アプリ内ブラウザ」の脅威とは？

開かれたインターネットを目指すソフトウェアエンジニアらによって組織された非営利団体・Open Web Advocacy(OWA)が、ユーザーの目が届かない場所でセキュリティやプライバシーを大きなリスクにさらすアプリ内ブラウザについて提言しました。

https://gigazine.net

• AT&T、約7300万人分の個人データ流出を確認　社会保障番号が含まれるものもあり - ITmedia NEWS

AT&T、約7300万人分の個人データ流出を確認　社会保障番号が含まれるものもあり

米通信キャリア大手のAT&Tは、約7300万人分の顧客および元顧客のデータがダークWeb上で公開されていることを認めた。このうち760万人の現在の顧客のパスコードをリセットし、顧客に連絡した。

https://www.itmedia.co.jp

• 第三者が個人情報15万人分ダウンロード　労務管理クラウド「WelcomeHR」で漏えい　マイナカードや免許証の画像も - ITmedia NEWS

第三者が個人情報15万人分ダウンロード　労務管理クラウド「WelcomeHR」で漏えい　マイナカードや免許証の画像も

ワークスタイルテック（東京都港区）が、同社の労務管理クラウドサービス「WelcomeHR」について、ユーザー情報が外部から閲覧可能な状態になっていたと発表した。16万2830人分の情報が閲覧可能だったとしており、うち15万4650人分の情報が実際に第三者にダウンロードされたという。

https://www.itmedia.co.jp

• 日本の｢ホワイトハッカー｣育成に不可欠な視点 学ぶ場の充実により年々レベルは向上している | 東洋経済Tech×サイバーセキュリティ | 東洋経済オンライン

日本の｢ホワイトハッカー｣育成に不可欠な視点

サイバーセキュリティ対策が喫緊の課題となっている中、ホワイトハッカーの育成も急務となっている。ホワイトハッカーは、ブラックハッカーと呼ばれる悪意のあるハッカーとは対照的に、倫理的なハッキング手法を用…

https://toyokeizai.net

• Wi-FiルーターやIoT機器の脆弱性を調査する「NOTICE」新バージョンを開始。総務省ら - INTERNET Watch

Wi-FiルーターやIoT機器の脆弱性を調査する「NOTICE」新バージョンを開始。総務省ら　ファームウェアの脆弱性、マルウェア感染の調査と注意喚起も新たに実施

　2019年2月より行われていた、IoT機器のセキュリティ向上を推進するプロジェクト「NOTICE」（National Operation Towards IoT Clean Environment）は3月29日、内容をあらめ、新しい「NOTICE」として開始した。総務省、国立研究開発法人情報通信研究機構（NICT）、一般社団法人ICT-ISACが発表した。

https://internet.watch.impress.co.jp

• IoT機器のセキュリティ向上を推進する新しい「NOTICE」を開始｜2024年｜NICT-情報通信研究機構

IoT機器のセキュリティ向上を推進する新しい「NOTICE」を開始｜2024年｜NICT-情報通信研究機構

サイバー攻撃手段の高度化による新たな脅威の登場などの環境変化によりIoT機器を悪用したサイバー攻撃の発生が継続していることを踏まえ、IoT機器のセキュリティ向上を推進するプロジェクトとして、新しい「NOTICE(National Operation Towards IoT Clean Environment)」を開始します。

https://www.nict.go.jp

• プロに聞く「ペネトレーションテストはいつすべき？」　“わざと自社にサイバー攻撃”訓練に求められる覚悟 - ITmedia NEWS

プロに聞く「ペネトレーションテストはいつすべき？」　“わざと自社にサイバー攻撃”訓練に求められる覚悟

「うちもやったほうがいいのかな」というあいまいな理由だけでペネトレーションテストを実施しても、投資に見合った効果が得られるかというと疑問が残る。どうせ実施するならば、実のある診断・演習を実施したいものだ。どういったポイントに留意して取り組むべきか。

https://www.itmedia.co.jp

• アップル製デバイスを狙う新たなパスワードリセット攻撃が登場 - ZDNET Japan

アップル製デバイスを狙う新たなパスワードリセット攻撃が登場

アップル製デバイスのユーザーは新たなフィッシング攻撃に直面している。それは「多要素認証（MFA）爆弾」という、データの窃盗を目的とした攻撃だ。

https://japan.zdnet.com

• Mac以外のPCでmacOSを動作させる「ハッキントッシュ」はもはや不可能になっているという指摘 - GIGAZINE

Mac以外のPCでmacOSを動作させる「ハッキントッシュ」はもはや不可能になっているという指摘

macOSは基本的にMac向けに動作するよう設計されていますが、Mac以外のPCにインストールする方法もあります。これは「Hack」および、Macの旧名称「Macintosh」を組み合わせて、「Hackintosh(ハッキントッシュ)」と呼ばれます。Hackintoshは2005年以降macOS愛好家がさまざまに試みてきましたが、主にiOSを専門とするプログラマーであるアレクサンダー・ヴァチッチ氏によると、Hackintoshは2023年ごろから「ほぼ死んでいる」状態にあるそうです。

https://gigazine.net

• 「iPhoneとPCを連携させて、無料で通話を録音・文字起こしする方法」――急遽テレワークを導入した中小企業の顛末記(181)【テレワーク顛末記】 - INTERNET Watch

「iPhoneとPCを連携させて、無料で通話を録音・文字起こしする方法」――急遽テレワークを導入した中小企業の顛末記(181)【急遽テレワーク導入！の顛末記】

　先日はWindows 11の「スマートフォン連携」機能を使って、PCをマイクとスピーカー代わりに使って、iPhoneの電話対応を行った。この仕組みを使えば、電話の音声を手っ取り早く録音できるかもしれない。

https://internet.watch.impress.co.jp

• DB呼び出し回数を減らしてコア機能を高速化した話。そして起こった悲劇と教訓 - Money Forward Developers Blog

DB呼び出し回数を減らしてコア機能を高速化した話。そして起こった悲劇と教訓 - Money Forward Developers Blog

初めに こんにちは、マネーフォワードクラウド連結会計（以降、クラウド連結会計）のバックエンド開発に従事しているTaskと申します。 今回は、クラウド連結会計のコア機能を高速化した話と、それが原因で起こった金額の不整合障害から得られた教訓を紹介しようと思います。 本記事内では、前提として簿記2級相当の知識や用語が頻出します。 連結会計とは まず、クラウド連結会計が扱っている連結会計について説明させてください。 連結会計とは、親会社・子会社など、支配もしくは従属関係にある複数の会社を1つのグループと捉えて、そのグループの決算を行うための会計手続きを指します1。 下の図の「連結グループA」の決算を行…

https://moneyforward-dev.jp

• フリー素材サイト「いらすと本舗」が話題　イラストや3D素材など配布中　作成者は“ある刑務所の受刑者” - ITmedia NEWS

フリー素材サイト「いらすと本舗」が話題　イラストや3D素材など配布中　作成者は“ある刑務所の受刑者”

「いらすと本舗」という、イラストのフリー素材サイトが話題だ。人物や職業、生活シーンなど、さまざまなカテゴリーのイラスト素材を無料配布しているWebサイト。イラストを描いているのは、ある刑務所の受刑者たちだという。

https://www.itmedia.co.jp

• IPアドレスを誰がどのくらい保有しているのかを一目で確認できるサイト「Reverse DNS」 - GIGAZINE

IPアドレスを誰がどのくらい保有しているのかを一目で確認できるサイト「Reverse DNS」

Reverse DNSは約43億個存在するIPv4アドレスの逆引き結果を地図のように表示したサイトです。

https://gigazine.net

• 5Gのサービスエリアが広がる！　モバイル通信と衛星システムなどで活用される“周波数共用”とは - ケータイ Watch

[藤岡雅宣の「モバイル技術百景」] 5Gのサービスエリアが広がる！　モバイル通信と衛星システムなどで活用される“周波数共用”とは

　2024年4月以降、首都圏を中心に5Gサービスエリアが広がる予定です。これは、衛星地球局への電波干渉を抑制するために故意に弱くしていた5G基地局から出す電波を本来の強さにして、基地局のカバレッジが広がるためです。

https://k-tai.watch.impress.co.jp

• GPSの精度が高くなってもなぜGoogleマップの位置情報は精度が高くならないのか？ - GIGAZINE

GPSの精度が高くなってもなぜGoogleマップの位置情報は精度が高くならないのか？

スマートフォンやカーナビは、GPSを利用することで高い精度で現在位置を特定しています。しかし、Googleマップで現在位置を参照すると点ではなく円で示されることがよくあり、GPSの精度が高くても位置情報はどうしても正確に表示されません。その理由について、科学系ニュースサイトのNautilusが解説しています。

https://gigazine.net

• 駐禁の反則金も「ペイペイ♪」　警視庁「PayPay請求書払い」で受付開始 - ITmedia NEWS

駐禁の反則金も「ペイペイ♪」　警視庁「PayPay請求書払い」で受付開始

警視庁の「放置駐車違反金」の支払いが「PayPay請求書払い」に対応。

https://www.itmedia.co.jp

• JR東海、2027年リニア開業を断念。丹羽社長「静岡工区トンネルに未だ着工できず6年4か月経過」 新たな開業時期も見通しなし - トラベル Watch

JR東海、2027年リニア開業を断念。丹羽社長「静岡工区トンネルに未だ着工できず6年4か月経過」

　JR東海は3月29日、国交省が行なった「第2回リニア中央新幹線静岡工区モニタリング会議」（東京・霞が関）において、2027年開業に向けて進めている品川～名古屋間の開業を断念する方針を明らかにした。

https://travel.watch.impress.co.jp

• これまで行方不明だったドイツ軍のＵボートをイギリス海峡で発見 : カラパイア

これまで行方不明だったドイツ軍のＵボートをイギリス海峡で発見 : カラパイア

　100年以上前にイギリス海峡で交戦し、互いに沈め合ったドイツの潜水艦とイギリスの機密艦。その後行方がわからなかった潜水艦がこのほど見つかり、史上唯一の事例とされてきた海戦の謎がついに解き明かされたという。 　1917年にUボートの名で知られるドイツ海軍

https://karapaia.com

• 500年後みんな「佐藤さん」に　別姓導入しなければ　識者が試算：朝日新聞デジタル

500年後みんな「佐藤さん」に　別姓導入しなければ　識者が試算：朝日新聞デジタル

　約500年後の2531年、日本人の全員の名字が「佐藤さん」になるかも――。　このまま選択的夫婦別姓を導入しない場合に、国内の名字の数がどう変化するか。別姓について考えてもらうキャンペーンの一環で、東…

https://www.asahi.com

• 手からごはんをもらうコザクラインコ　アニメの世界から飛び出したような“ニッコリ”に「天使」「癒やされた……」と反響 - ねとらぼ

手からごはんをもらうコザクラインコ　アニメの世界から飛び出したような“ニッコリ”に「天使」「癒やされた……」と反響

うれしそうにごはんを食べているコザクラインコの姿がX（Twitter）に投稿されました。記事執筆時点でこの投稿の表示件数は77万6000回を突破し、“いいね”は3万件を超えています。おいしそうに食べていらっしゃる。投稿者は文鳥やコザクラインコ、マメルリハなど、たくさんの小鳥たち…

https://nlab.itmedia.co.jp

• 愛猫の誕生日に大きな砂場をプレゼントしてみたら……？　やっぱりな展開に「期待を裏切らない！」「ほんとにそうなるとは笑」 - ねとらぼ

愛猫の誕生日に大きな砂場をプレゼントしてみたら……？　やっぱりな展開に「期待を裏切らない！」「ほんとにそうなるとは笑」

愛猫に大きな砂場をプレゼントしたときの反応がYouTubeで紹介されています。動画は記事執筆時点で16万5000回以上再生され、「こうなっちゃうよね笑」「気に入ってるなら結果オーライ」と反響を集めています。2024年3月1日は、立ち耳スコティッシュフォールドの「ポム」さんが6歳…

https://nlab.itmedia.co.jp

• お散歩拒否ワンコが道端でゴロゴロ→知らないおっちゃんに「気持ちいいやね〜」と言われた瞬間……　爆笑の表情に「涙が出るww」 - ねとらぼ

お散歩拒否ワンコが道端でゴロゴロ→知らないおっちゃんに「気持ちいいやね～」と言われた瞬間……　爆笑の表情に「涙が出るww」

朝のお散歩拒否中に声をかけられたワンコの姿がX（Twitter）に投稿されました。ポストは記事執筆時点で83万7000件以上表示され、1万6000件を超える“いいね”を獲得するなど人気を集めています。動画に登場するのは、シーズーとミニチュアダックスフントのMIX犬「うーきー」ち…

https://nlab.itmedia.co.jp