XZ Utilsの脆弱性 CVE-2024-3094 についてまとめてみた - piyolog
2024年3月29日、Linux向け圧縮ユーティリティとして広く利用されているXZ Utilsに深刻な脆弱性 CVE-2024-3094 が確認されたとして、研究者やベンダがセキュリティ情報を公開しました。この脆弱性は特定の条件下においてバックドアとして悪用される恐れがあるものとみられており、当該ソフトウエアのメンテナのアカウントにより実装されたソフトウエアサプライチェーン攻撃の可能性が指摘されています。ここでは関連する情報をまとめます。 脆弱性の概要 xzとは主要なLinuxディストリビューションに含まれる汎用的なデータ圧縮形式で、今回問題が確認されたのはその圧縮・解凍ユーティリティであるliblzma(API)を含むXZ Utils。CVE-2024-3094が採番されており、Red Hatによって評価されたCVSS基本値はフルスコアの10。影響を受けたライブラリをリンクしているssh
Redisよ安らかに眠れ: Garantia Dataが引き起こしたオープンソースの歴史上最大の強盗とは
Khawaja Shams Tony Valderrama Erika Tharp TL;DR 2024年3月20日Redis社は、これまでオープンソースとして開発してきたRedis 7.4ソースコードのライセンスを、Redis Source Available License (RSALv2)とServer Side Public License (SSPLv1)のデュアルライセンスに変更すると発表しました。この変更によりRedis社の許可なくRedisを用いたマネージドサービスなどを提供することができなくなります。 2009年1人の情熱的なエンジニアAntirezが作り出したRedisですが、2013年のGarantia Data社の介入により様々なドラマが勃発し2020年にAntirezはIPそしてトレードマークを同社に譲渡します。その後、Redisのコアコミュニティメンバーを中心に
中国のネット監視・検閲「グレートファイアウォール」を個人で再現 オープンソース「OpenGFW」公開中
このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 Twitter: ＠shiropen2 米国の研究機関であるAperture Internet Laboratoryは、Linuxで動作する中国のインターネット検閲システム「グレートファイアウォール」（Great Firewall、GFW、金盾）をオープンソースで実装したシステム「OpenGFW」を発表した。このシステムは家庭用ルーターで使用可能なほど柔軟で使いやすく、GFWを個人レベルで実現することを目指している。 OpenGFWは、IPとTCPのデータを完全に再構築する能力を持ち、HTTP、TLS、DNS、SSHなどのネットワークプロトコルを解析できる。特に、Shadowso
22年前からFirefoxブラウザに存在したバグ、23歳の初心者プログラマーが修正 | テクノエッジ TechnoEdge
ガジェット全般、サイエンス、宇宙、音楽、モータースポーツetc... 電気・ネットワーク技術者。実績媒体Engadget日本版, Autoblog日本版, Forbes JAPAN他 デスクトップ版のFirefoxブラウザーに20年以上存在していたバグが先月、23歳のプログラミング初心者によって修正されました。 2002年、MacでMozilla browser（Firefoxの当時の名称）を使用していたアダム・プライス氏は、ツールチップの表示の問題に悩まされていました。このバグは、Mozillaツールバーのアイコンにマウスカーソルをポイントして表示されるツールチップ（説明書き）が、Commandキー(WindowsではAltキー)+Tabキーでウィンドウのフォーカスをほかのアプリに移したあとも表示され続けてしまうというもの。 この状態になってしまった場合、ツールチップを消すには再びFir
jq が jqlang organization に移譲されました - プログラムモグモグ
JSONを操作するコマンドラインツールであるjqは、これまでオリジナル作者であるStephen Dolan氏 (@stedolan)のリポジトリ(github.com/stedolan/jq)で管理されていました。 メンテナンスはNico Williams氏 (@nicowilliams)とWilliam Langford氏 (@wtlangford)の二名が行なっていましたが、近年は活動が減っておりメンテナンスが滞っていることが度々指摘されていました。 最新のリリースは2018年11月に行われた1.6であり、その後に様々なバグ修正やパフォーマンス改善、新機能の実装が行われているのにリリースされておらず、またissueやPRも放置されがちになっていました。 さらにCI (AppVeyor)は常に落ちるので、簡単なドキュメント修正でもCIが通らず苦情が来る、数か月放置されたPRは作った人が諦
マイクロソフトが絵文字データ1538種をオープンソース提供。改変・商用利用も自由 | テクノエッジ TechnoEdge
マイクロソフトが独自デザインの絵文字『Fluent emoji』1538種のデータをオープンソースで公開しました。 Microsoft 365のリアクション等でも使われるマイクロソフト版の最新デザイン絵文字 Fluent emoji 1538種について、3D表現のPNGファイルやベクタのSVG版、フラット版やハイコントラスト版など一式を含み、Github や Figma で誰でも自由に利用したり入手できます。 制限の少ないMITライセンスのため、自由に改変や配布、商用利用も可能(著作権表示と許諾表示は必要。MITライセンスを参照)。 現在の絵文字に欠けた新しい絵文字の素材にすることも、顔や動物や食べ物のアレンジ版を作ることも、自分のアプリや作品に導入することもできます。 Fluent Emoji は、マイクロソフトが2021年に全面刷新したスタイルの絵文字。モバイル機器やチャットアプリ、リ
個人開発者とCovid-19 Radarプロジェクト - laiso
Endless road | During our roadtrip we turned off the highway… https://www.flickr.com/photos/98063470@N00/326044514 GitHubリポジトリ Covid19Radar に対して起ったことがかなり特殊な状況だったため、開発を追い掛けていた視線からレポートをします。 この記事の著者について 代表作のない個人アプリ開発者(かなしい) Covid-19 Radar Japan の人ではない GAFAMやCode for Japan の人でもない 4/8 Covid-19 Radarを発見する Covid-19 Radarとは、この時点ではシンガポールのTraceTogetherの日本版を目指した個人開発者 廣瀬一海さんのアプリのリポジトリ 4月にContact Tracing技術について
オープンソース商標についての解説と不使用取消審判への対応のお願い | OSDN Magazine
オープンソース運動初期の頃に日本国内の有志数名が集まったOpen Source Group Japanというグループがあります。このOpen Source Group Japanでは、日本国内において2002年から「オープンソース/Open Source」という商標（登録4553488号）を登録していますが、今月になり同登録商標に対して不使用取消審判が請求されたという連絡を弁理士事務所から受けました。 この審判請求に対して使用確認等の反証を行うか否かは8月上旬に決定することにしておりますが、我々のグループでは本商標がどれだけ利用されているか全容を把握しているわけではありませんので、我々が早急に利用事例の確認をするためには広く一般に事案を周知する必要性があること、また、不使用取消審判という言葉のイメージや審判の請求元が出願している商標の影響から、今後の「オープンソース」という名称の利用への懸
LibreOfficeの開発元、ミュンヘン市の「脱Linux」に対しWindowsへの移行を懸念する声明を発表 | スラド オープンソース
ストーリー by hylom 2017年02月18日 7時00分 他人事なのでWindowsに戻してみて費用対効果が悪いことを実感してほしい 部門より ドイツ・ミュンヘン市は2004年より「脱Windows」を進めており、2014年には職員の8割がLinuxマシンを使用する状況となった（過去記事）。しかし、これに反対する声は多く、たびたびWindowsへの「逆戻り」が提案されていた。 Windowsを求める理由は「ソフトウェアに関する問題」で、特にMS Officeを求める声が多いようなのだが、これに対しLibreOfficeを開発するThe Document Foundationが声明を出している（GIGAZINE）。 ミュンヘン市長はアクセンチュアに対しミュンヘン市のITインフラに関する調査を依頼しているのだが、Document Foundationによるとこの調査結果からは、問題はオ
Facebookの特許条項付きBSDライセンスが炎上している件について｜こんぴゅ
先月あたりから、オープンソースソフトウェア（以下、OSS）のライセンスのあり方について、Facebookを火種にして侃々諤々の議論が起こっているので解説してみる。 ASFがFacebookにNOをつきつけることの始まりは、Apache Software Foundation（以下、ASF）という著名OSSプロジェクトを多数保有する非営利団体が、Facebookが自社OSSに付加している独自ライセンス Facebook BSD+Patents license を「Category-X」リスト（禁忌リスト）に追加したことだ。 ASFプロジェクトは、Category-Xに含まれるOSSに依存してはいけない決まりがあるため、Facebook製のOSSに依存しているプロジェクトは、8月31日以降はそれらの依存を取り除いてからではないと新しいリリースが出来ない。影響を受けたプロジェクトは少なくとも C
モジュールメンテナンスを通じて感じる最近のPerl - YAPC::Hokkaido 2016 // Speaker Deck
モジュールメンテナンスを通じて感じる最近のPerl
任天堂製品に関連するオープンソースソフトウェアのソースコード配布ページ｜サポート情報｜Nintendo
Some Nintendo products include open source software ("OSS") distributed under the terms of various open source licenses, including the GNU Library General Public License 2.0, the GNU Lesser General Public license 2.1, the Mozilla Public License Version 1.1, and the Mini-XML License (collectively, the "OSS Licenses"). This website is the OSS source code distribution page for such Nintendo products.
Mixxx - Free DJ Mixing Software App
DJ Your Way Free and open source DJ software for Windows, macOS, and Linux Powerful Features For All DJs Mixxx integrates the tools DJs need to perform creative live mixes with digital music files. Whether you are a new DJ with just a laptop or an experienced turntablist, Mixxx can support your style and techniques of mixing. BPM, Key Detection & Sync BPM and musical key detection help you find th
npm install scriptの脆弱性とオープンソースと信頼 - teppeis blog
先日アナウンスされた脆弱性とその周辺について、とりとめなく。 The npm Blog — Package install scripts vulnerability Vulnerability Note VU#319816 脆弱性の概要 VU#319816 によれば、今回問題になっているのはnpmの以下の性質を利用するとnpmパッケージでワーム（自己増殖力のあるマルウェア）を作れるというもの。 依存パッケージのバージョンをロックせず、semverにより範囲指定することが多い CLIで一度npmへloginすると、明示的にnpm logoutするまで認証が永続化される npm registry が中央集権型サーバーである 具体的な手法として、Chris Contoliniが PoC として pizza-party というリポジトリを公開している*1。以下のように動作する。 ワームが仕込まれ
Netflixのオープンソースのまとめ - ワザノバ | wazanova
http://www.lauradhamilton.com/system-administration-at-netflix 1 comment | 0 points | by WazanovaNews ■ comment by Jshiike | 約3時間前 メディカル分野のアナリティクスサービスを提供しているAdditiveAnalyticsのFounderのLaura Diane Hamiltonが、先日のNetflixのJeremy Edbergのプレゼン（110枚のスライド）をまとめてくれています。かなりの数になったNetflixのオープンソースのプロジェクトの全容がわかるので助かります。 Application Availability Hystrix: サーキットブレーカーのような役割を果たすことで、障害の雪崩現象を食い止め、分散システムの障害耐性を担保。 The Simi
2016年3月2日 安心してください、やっと死にました ─SCOがIBMと最終合意へ | gihyo.jp
長かった法廷闘争がようやく本当に幕を閉じた。2月26日（米国時間）、米ユタ連邦裁判所は2003年から続いていたThe SCO Group（すでに破産）とIBMの一連の係争への最終通告となる文書を公開、SCOからIBMに対する訴えのすべてを棄却するとの判決を両者が受け入れたことを発表した。2月9日にSCO側とIBMに対してなされた通告の回答期限が26日だったことを受けての発表となる。 Groklaw - SCO v. IBM 1162（PDFファイル） SCOが「IBMはSCOの知的財産（UNIXソースコード）を不当に開示して利益を上げている。GNUやLinuxはSCOの知的財産を不法に引用し、成長しようとしている」というトンデモ主張を勢いよく掲げ、SCOがユタ州の地方裁判所に最初の訴えを起こしたのが2003年3月のこと。以来、何度も「お前（SCO）の負け」という判決をつきつけられ、つい
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Ruby、jQueryなどの廃れていくOSSを開発している人達はどういう気持ちで日々それらを開発しているんですか？
LibreOfficeコミュニティに不具合修正パッチを送ってみた
Open Source Guides
オープンソースのベクターグラフィック・アプリ「Inkscape」が約3年の開発期間を経てv1.0へ。macOS版はXQuartz不要で64-bit対応のネイティブアプリに。
