中国で遠隔キスデバイスが注目を集める

2023年3月26日 19:37

中国・北京のスタートアップ企業、思維輻射 (Siweifushe) が開発した遠隔キスデバイス「MUA」が注目を集めているそうだ (The Guardian の記事、 SCMP の記事、公式サイト、動画)。

発明当時北京電影学院の学生だった発明者は COVID-19 ロックダウンで恋人に会えなかったことから MUA を考案したのだという。発明者は MUA を卒業プロジェクトとして完成させ、のちに思維輻射を設立することになる。MUA はシリコン製の口が付いたスマートフォンスタンド型デバイスで、取り付けた 2 台のスマートフォンをアプリで接続して利用する。MUA に唇を押し当てると圧力を内蔵センサーが検知し、接続先の MUA で動きが再現されるとのこと。「MUA」の名称はエアキスをするときのオノマトペだ。スマートフォンとの接続方法は説明されていないが、映像で特にコネクターは見当たらないので、何らかの無線接続とみられる。1 月に 260 人民元で発売された MUA は既に 3,000 台以上が売れており、20,000 台の注文を受けているそうだ。

遠隔キスデバイスが開発されるのは初めてではなく、2011 年には電通大の研究グループがデバイスを発表している。電通大のデバイスは使っている姿が奇妙なだけだったが、幼虫が顔を出しているようにも見える外見の MUA は不気味でもある。スラドの皆さんは、このようなデバイスにキスしてみたいだろうか。

スラド
Google Play Commerce、2022年に20億ドル以上の不正な取引を防ぐ 2023年3月26日 17:44

Google Play Commerce、2022年に20億ドル以上の不正な取引を防ぐ

スラド

著者:headless

2023年3月26日 17:44

170 以上の市場で Android アプリとゲームのマネタイズを可能にする Google Play Commerce では、2022 年に 20 億ドル以上の不正な取引を防いだそうだ (Android Developers Blog の記事、 Neowin の記事)。

他人のアプリを悪用して不正に利益を得ようとする悪人は、不正な支払い手段でアプリ内購入を行う方法や、既に使用または転売済みのアプリ内アイテムの返金を受ける方法などを常に探している。このような者たちが手を組み、さまざまな悪用方法を組み合わせれば大規模な不正利用につながる可能性もある。それを防ぐには自動化されたソリューションや内部的な監視ツール群と人間の専門知識を組み合わせる必要があるとのこと。

不正を防ぐ最も効果的なソリューションは取消済みの購入を検出して回収可能なコンテンツを取得する Voided Purchases APIの利用と、難読化されたアカウントIDによる不正な取引の検出だという。アプリをマネタイズする開発者トップ200の70%以上がこれらのソリューションを利用しているそうだ。また、Play Integrity APIを重要なタイミングで呼び出すことで変更されたアプリバイナリからのアクションを検出し、不正なアクセスを 50% 以上減らすことができるとのことだ。

スラド
Terran 1 打ち上げ失敗、3D プリント技術によるロケットの実証は成功と評価 2023年3月26日 15:51

Terran 1 打ち上げ失敗、3D プリント技術によるロケットの実証は成功と評価

スラド

著者:headless

2023年3月26日 15:51

AC0x01 曰く、

先日話題になった世界初の完全3Dプリンタ製ロケット「Terran 1」の打ち上げは何度か延期された後に現地時間 22 日午後 11 時 25 分に行われたが、2 段目エンジンが正常に点火せず、打ち上げとしては失敗に終わった (打ち上げ動画、 SPACENEWSの記事)。

ただし、Relativity Space 社は事前に今回の打ち上げの一番の課題を 3D プリントされた機体が Max-Q (機体に最も負荷がかかる瞬間) を超えられるかどうかだと述べており、1 段目の飛行から 2 段目分離までは成功したことで大きなマイルストーンを達成したとツイートしている。同ロケットは 3D プリントした記念品だけを積んでおり、顧客のペイロードを守る必要がないためフェアリングも搭載していなかった。

なお、同社は将来的に完全再使用の大型ロケット「Terran R」を開発する計画だが、今後は Terran 1 を修正して再打ち上げするのではなく、直接 Terran R を開発する可能性もあるとのこと。

スラド
Windows 11、設定にかかわらずデバイスが脆弱だと警告され続ける問題 2023年3月26日 13:58

Windows 11、設定にかかわらずデバイスが脆弱だと警告され続ける問題

スラド

著者:headless

2023年3月26日 13:58

Windows 11の「Windowsセキュリティ」でローカルセキュリティ機関 (LSA) 保護機能のオン・オフにかかわらず、オフなのでデバイスが脆弱だと警告され続ける問題が発生している (Microsoft Learn の記事、 The Register の記事、 Ghacks の記事、 BetaNews の記事)。

この問題は Windows 11 バージョン 22H2 で「Update for Microsoft Defender ウイルス対策マルウェア対策プラットフォーム — KB5007651 (バージョン 1.0.2302.21002)」のインストール後に発生するという。

バージョン 1.0.2302.21002 をインストールすると、Windows セキュリティの「デバイスセキュリティ > コア分離」の「ローカルセキュリティ機関の保護」に「ローカルセキュリティ機関の保護がオフになっています。デバイスが脆弱である可能性があります。」と警告が表示される。このオプションをオンにすると「この変更を適用するにはデバイスを再起動してください。」と表示されるのだが、再起動後にも警告は消えず、再起動の要求も表示されたままになる。通知も表示されるような説明になっているが、手元の環境では確認できなかった。なお、警告には「無視」というリンクがあり、クリックすることで警告表示を消すこともできるが、再起動要求が消えることはない。

Microsoft によれば再起動後は警告を無視できるとのことだが、実際に保護が有効であるかどうかはイベントビューアーの「Windows ログ」でイベントID 12 のイベントを確認する必要がある。イベントID 12で「LSASS.exe がレベル 4 で保護されたプロセスとして起動されました。」というイベントが記録されていれば LSA 保護は有効だ。Microsoft は問題の解決に取り組んでいるといい、更新プログラムがリリースされるまではこの状態が続くことになる。

スラド
ベートーベン鉛中毒説の根拠となっていた遺髪、女性の髪の毛だった 2023年3月26日 11:59

ベートーベン鉛中毒説の根拠となっていた遺髪、女性の髪の毛だった

スラド

著者:headless

2023年3月26日 11:59

英ケンブリッジ大学やドイツ・テュービンゲン大学などの研究グループがベートーベンの遺髪に対する全ゲノムシーケンシングを実行し、彼の作曲家・演奏家としての活動に大きな影響を与えた健康問題について遺伝性・感染性の原因を分析している (論文、 Ars Technica の記事)。

音楽史上最も重要な作曲家の一人であるベートーベンは進行性の難聴や慢性の胃腸炎に苦しみ、最後は肝硬変で亡くなった。死の翌日 1827 年 3 月 27 日に発見された 2 人の弟あての手紙 (ハイリゲンシュタットの遺書) では病状を記録して公表するよう要望しており、指名された医師はベートーベンよりも 18 年早く亡くなっていたが、病因を調べる研究は長年にわたり行われている。

今回の研究ではベートーベンのものとされる 8 つの毛束から採取した毛髪のサンプルを調査。まず 8 サンプルに対し浅いショットガンシーケンシングを実行した結果、5 サンプルが欧州系男性の同一人物 (または一卵性双生児) のものであることが確認された。研究グループではこれら 5 サンプルを本物と仮定し、最も状態の良いサンプルで全ゲノムシーケンシングを実施した。

スラド
欧州委員会、消費者が修理サービスを受けやすくするEU指令案を採択 2023年3月26日 10:25

欧州委員会、消費者が修理サービスを受けやすくするEU指令案を採択

スラド

著者:headless

2023年3月26日 10:25

欧州委員会は 22 日、消費者が修理サービスを受けやすくする権利を定める EU 指令案を採択した (プレスリリース、 Q&A、議案: PDF、 Ars Technica の記事、 The Register の記事 )。

現在の EU 指令では家庭用の洗濯機と洗濯乾燥機などについて、メーカーや輸入会社、正規代理店に最低 5 ～ 10 年間の修理サービス提供を義務付けている。指令案では対象を携帯電話やタブレットなどにも対象を拡大する。保証期間内に製品不良が見つかった場合も、交換する場合の費用を上回らない限り修理で対応することが義務付けられる。また、消費者と修理サービスのマッチングシステムや、修理サービスの品質基準なども策定していくとのこと。なお、実際に指令が成立するためには欧州議会や欧州理事会の承認が必要となる。

欧州委員会では同日、グリーンウォッシングなど環境への取り組みを誇張して宣伝に使う行為から消費者を守るための指令も提案している (プレスリリース)。

スラド
Samsung の写真画質改善ツール、赤ちゃんに歯を生やす 2023年3月25日 19:21

Samsung の写真画質改善ツール、赤ちゃんに歯を生やす

スラド

著者:headless

2023年3月25日 19:21

Samsung の Galaxy シリーズスマートフォンに搭載された「リマスター」機能を赤ちゃんの写真に適用すると歯が生えることが判明し、ユーザーを恐怖に陥れている (The Verge の記事、 Android Police の記事)。

リマスター機能はフォトギャラリーに搭載されており、光の反射や影などを取り除くほか、ノイズ除去や色補正などにより画質を向上させるなどと説明されている。赤ちゃんに歯が生えるのは、歯のホワイトニング機能が原因とみられる。つまり、歯のない赤ちゃんの口の中に見える舌先をぼやけた歯と誤認識し、白くするだけでなく歯の形まで描いてしまうようだ。

スラド
GitHub、誤公開した RSA SSH ホスト鍵を更新 2023年3月25日 17:28

GitHub、誤公開した RSA SSH ホスト鍵を更新

スラド

著者:headless

2023年3月25日 17:28

GitHub が日本時間 24 日 14 時頃、GitHub.com の Git 操作で使用する RSA SSH ホスト鍵を更新したそうだ (The GitHub Blog の記事、 The Register の記事)。

今週 GitHub は RSA SSH 秘密鍵がGitHubの公開リポジトリで短時間見える状態になっていたことを発見し、すぐに修正を行って原因と影響の調査を行ったという。その結果、GitHubのシステムや顧客の情報が不正にアクセスされたのではなく、誤って秘密鍵を公開してしまった結果だと判断したとのこと。秘密鍵が不正に用いられたという証拠もないが、攻撃者がGitHubになりすましたり、ユーザーのGit操作を盗聴する可能性があることから、念のためホスト鍵を更新したとのこと。この変更はRSA鍵を使用してSSHでGit操作をする場合にのみ影響し、GitHub.comへのウェブトラフィックやHTTPSでのGit操作は影響を受けない。

RSA鍵を使用してSSHでGitHub.comにアクセスすると警告が表示されるので、古い鍵を削除して新しい鍵を追加する必要がある。ECDSA鍵やEd25519鍵を使用している場合には影響がなく、特に何も変更する必要はないとのことだ。

スラド
訃報: 「ムーアの法則」で知られる Intel 共同創業者ゴードン・ムーア氏 2023年3月25日 15:35

訃報: 「ムーアの法則」で知られる Intel 共同創業者ゴードン・ムーア氏

スラド

著者:headless

2023年3月25日 15:35

あるAnonymous Coward 曰く、

半導体の集積度は2年ごとに倍増するというムーアの法則で有名な、インテルの共同創業者のゴードン・ムーア氏が亡くなった (日本経済新聞の記事)。

ムーアの法則を牽引してきたインテルは TSMC に牽引役を譲った感があるが、これからもムーアの法則は持続可能だろうか。それとも氏の逝去とともに過去の法則となるだろうか。

ムーア氏は 1929 年 1 月 3 日生まれ。3 月 24 日にハワイの自宅で家族に見守られて安らかに息を引き取ったとのこと。94 歳だった。ムーア氏がロバート・ノイス氏と Intel を設立したのは 1968 年。Intelでは1975年に社長に就任するまでエグゼクティブバイスプレジデントを務め、1979年には会長兼CEOに就任。1997年には名誉会長に就任し、2006年まで務めた(プレスリリース)。

すべて読む | ハードウェアセクション | ハードウェア | Intel |

スラド
米ユタ州、18 歳未満のソーシャルメディア利用に保護者の許可を必要とする州法が成立 2023年3月25日 13:42

米ユタ州、18 歳未満のソーシャルメディア利用に保護者の許可を必要とする州法が成立

スラド

著者:headless

2023年3月25日 13:42

米ユタ州のスペンサー・コックス知事が 23 日、2 件のソーシャルメディア規制法改正案に署名し、改正法が成立した (The Verge の記事、 S.B. 152、 H.B. 311)。

改正案 S.B. 152 ではユタ州の住民がソーシャルメディアアカウントを作成する際の年齢確認をソーシャルメディア企業に義務付け、住民が未成年 (18 歳未満) の場合は保護者による許可を得ない限りアカウント作成を禁ずる。また、未成年者のアカウントでは特定アカウントとのダイレクトメッセージ送受信や、アカウント検索結果への表示、広告表示、サービス提供に必要な場合を除く個人情報の収集などが禁止される。保護者の指定に従った利用時間の制限や、未成年者のアカウントの投稿やメッセージを閲覧可能なパスワードを保護者に提供することなども盛り込まれている。違反した場合は最高 5,000 ドルの民事制裁金、または最高 2,500 ドルの行政罰金が科せられる。

一方、H.B. 311 はソーシャルメディアプラットフォーム依存を招くようなデザインや機能を未成年者に使用することを禁じ、消費者保護当局による執行を可能にするものだ。違反した場合はそれぞれのビジネス慣行やデザイン、機能に対し 25 万ドル、それに接した未成年者のアカウント 1 件ごとに最高 2,500 ドルの民事制裁金が科せられることになる。

すべて読む | ITセクション | 政治 | 教育 | IT | SNS | アメリカ合衆国 |

スラド
モニター配置性格診断、あなたはどのタイプ？ 2023年3月25日 11:49

モニター配置性格診断、あなたはどのタイプ？

スラド

著者:headless

2023年3月25日 11:49

Reddit のコミュニティ r/ProgrammerHumor がモニター配置性格診断で盛り上がっている (The Verge の記事、 Reddit のスレッド)。

r/ProgrammerHumor はプログラマーやプログラミングのユーモアやジョークに関するコミュニティ。モニター配置性格診断はモニターの組み合わせと配置による性格診断で、モニター 1 台のみの「true neutral」から、異なるサイズ・向きのモニターを 5 台組み合わせた「chaotic evil」まで、9 タイプに区分されている。個人的にはノート PC のみで作業することが多いので true neutral かもしれないが、たまに利用するノート PC ともう 1 台のモニターを組み合わせた「lawful neutral」の方が見た目的にはしっくりする。スラドの皆さんはどのタイプだろうか。

スラド
UNIX 開発者ケン・トンプソン、現在使用するOSは Raspbian 2023年3月21日 19:34

UNIX 開発者ケン・トンプソン、現在使用するOSは Raspbian

スラド

著者:headless

2023年3月21日 19:34

UNIX 開発者の一人であるケン・トンプソン氏が現在使用している OS は Raspbian なのだそうだ (動画、 The Register の記事)。

先日開催された Southern California Linux Expo (SCALE) で講演したトンプソン氏が「現在選ぶOSは何か」という質問に答えたものだ。トンプソン氏は Apple ユーザーとして生まれたかのように人生の大半で Apple を使用してきたが、最近 5 年ほど Apple のやることがだんだん嫌になってきたのだという。そして 1 ～ 2 か月ほど前、これまで Apple に投資してきた億兆年も惜しくないと思い、Linux、具体的には Raspbian に移行したとのこと。なお、トンプソン氏は 2009 年のインタビューで Linux を使用していると答えていたように思われるが、その事情は不明だ。

関連ストーリー：
プログラミング言語の成功にはあご髭が必須？ 2012年06月22日
Dennis Ritchie と Ken Thompson、日本国際賞を受賞 2011年01月27日
Google、C/C++に代わる言語「Go」をBSDライセンスで公開 2009年11月12日
UNIX 40 歳おめでとう！ 2009年06月09日
Bell研UNIX Groupが解散 2005年08月17日
SCOの「証拠」に対する Bruce Perens 氏の反論 2003年08月23日

スラド
欧州の AWS、バックアップ用発電機の燃料を水素化植物油に移行開始 2023年3月21日 17:41

欧州の AWS、バックアップ用発電機の燃料を水素化植物油に移行開始

スラド

著者:headless

2023年3月21日 17:41

欧州の Amazon Web Services (AWS) では、データセンターのバックアップ用発電機を水素化植物油(HVO)燃料に移行開始したそうだ (Amazon のニュース記事、 Neowin の記事、 The Register の記事)。

再生可能で生分解性があり、毒性のないHVOは使用済みの食用油などから製造可能で、そのライフサイクル全体で石油由来のディーゼル燃料と比べて排出する温室効果ガスを 90 % 削減できるという。また、他のバイオディーゼルと比べて産業機械との互換性が高く、燃料システムの改造が必要ないほか、冬季の低温下でも安定した状態を保つ。これにより、AWS は既存のバックアップ発電機のタンクに HVO を注入してこれまで通り使用することができ、気候の異なるさまざまな地域で利用できるとのこと。

AWS ではアイルランドとスウェーデンのデータセンターを手始めに HVO への移行を進めており、将来的には欧州の全データセンターで HVO に移行する計画とのことだ。

スラド
IKEA、欧州の店舗で在庫管理に用いるドローンが 100 機に到達 2023年3月21日 15:48

IKEA、欧州の店舗で在庫管理に用いるドローンが 100 機に到達

スラド

著者:headless

2023年3月21日 15:48

IKEA の欧州の店舗で、在庫管理のために導入したドローンが 100 機に到達したそうだ (Ingka Group のブログ記事、 The Verge の記事)。

ドローンは完全自律飛行によるソリューションで、営業時間外に飛び回って自動で在庫をチェックすることで在庫のより正確な把握が可能となり、オンラインストアや実店舗での商品確保を確実にする。スイスで IKEA の店舗に在庫管理ドローンが初めて導入されたのは 2021 年。現在はスイスのほか、ベルギーやクロアチア、スロベニア、ドイツ、イタリア、オランダを含めて 16 店舗で計 100 機が飛び回っているとのことだ。

スラド
FBI、ハッカーフォーラム運営者「ポムポムプリン」を逮捕 2023年3月21日 13:32

FBI、ハッカーフォーラム運営者「ポムポムプリン」を逮捕

スラド

著者:headless

2023年3月21日 13:32

サンリオのキャラクター「ポムポムプリン」をユーザー名やアイコンに使用して活動していたハッカーフォーラムのオーナーが米ニューヨーク州ピークスキルの自宅で逮捕されたそうだ (HackRead の記事、 news12 Westchester の記事、 Bloomberg の記事、 The Register の記事、裁判所文書: PDF)。

このハッカーフォーラム「BreachForums」は閉鎖された Raidforums の代替として開設されたもので、企業やウェブサイトから盗まれたデータベース 1,000 件近くをホストする現在最も活発なハッカーフォーラムだという。昨年中国で流出した 10 億人規模の個人情報や、1 月に米航空会社から流出した米国の飛行禁止リストも同フォーラムで公開されている。pompomprin は 2021 年に fbi.gov ドメインで偽メールが大量送信された事件の実行者としても知られる人物だ。BreachForums では pompomprin の逮捕を受け、他のシステム管理者が新オーナーとして運営を続けていくと発表している。

スラド
Pixel Watch で正確な時刻にアラームが鳴らない問題、時計アプリのアップデートで修正へ 2023年3月21日 11:39

Pixel Watch で正確な時刻にアラームが鳴らない問題、時計アプリのアップデートで修正へ

スラド

著者:headless

2023年3月21日 11:39

Google Pixel Watch では正確な時刻にアラームが鳴らない問題が報告されていたが、近く修正されるようだ (Google Pixel Watch Help の記事、 The Verge の記事、 9to5Google の記事)。

この問題はセットした時刻から前後数分ずれてアラームが鳴るというもので、遅れて鳴るというのが大半だが、早く鳴ったという報告もみられる。Google Pixel Watch 3 月のアップデート情報によると、この問題を修正する時計アプリのアップデートを今後数週間のうちに Google Play を通じて提供するとのこと。なお、原因についてはスラドでも様々な予想がされているが、今回の発表で具体的な原因は示されていない。

スラド
ソースコードの中で罵倒してる？ 2023年3月19日 20:01

ソースコードの中で罵倒してる？

スラド

著者:headless

2023年3月19日 20:01

カールスルーエ工科大学の学生、Jan Strehmel 氏が C 言語で書かれたオープンソースコードを調べたところ、罵倒語を含むソースコードがコーディング標準により準拠していたそうだ (論文: PDF、 Ars Technica の記事)。

調査は GitHub で公開されている C 言語のオープンソースコードを用い、Strehmel 氏の所属する研究グループが開発したオープンソースのコーディング標準準拠チェックツール「SoftWipe」で 10 点が満点となる評価を行っている。対象は 300 個以上の英語の罵倒語のうち少なくとも 1 個含む 3,800 件以上のリポジトリと、罵倒語を含まない 7,600 件以上のリポジトリとなっている。

SoftWipe による評価は罵倒語を含まないリポジトリで中央値 5.41 (信頼区間 5.38-5.45、標準誤差 0.02)、罵倒語を含むリポジトリで中央値 5.87 (信頼区間 5.81-5.93、標準誤差 0.01) となり、罵倒語を含む方が 0.5 点ほど高くなっている。普段から自分の各ソースコードでしばしば罵倒語を使う指導教授の Alexandros Stamatakis 氏はこの結果を聞き、「cool」と思ったそうだ (残念)。

Strehmel 氏は同じ研究室のメンバーから Linux のソースコードに多数の罵倒語が含まれるというグラフを見せられて今回の研究を思いついたという。Linux 開発者の Linus Torvalds 氏は罵倒表現でも知られるが、Linux のソースコードでは 2018 年の Code of Conduct 更新を境に「fuck」が急減したようだ。スラドの皆さんはソースコード内で罵倒しているだろうか。

スラド
Samsung 曰く、ぼやけた月でも月と認識できればくっきり明るい月の写真になる 2023年3月19日 18:18

Samsung 曰く、ぼやけた月でも月と認識できればくっきり明るい月の写真になる

スラド

著者:headless

2023年3月19日 18:18

Galaxy シリーズの「スペースズーム」機能による月の写真が偽物だと再び話題になったことを受け、Samsung が解説記事を公開している (Samsung Mobile Press の記事、 The Verge の記事、 Ars Technica の記事)。

Samsung に限らず、スマートフォンで撮影した月の写真が合成ではないかとの疑惑はこれまでにも話題となっている。この記事自体も新しいものではなく、Samsung が昨年 10 月に韓国版サイトで公開した記事を英訳したもののようだ。記事によれば、Galaxy シリーズがくっきりした月の写真を撮影できるのは超解像技術とシーン最適化技術の組み合わせによるものだという。超解像は 25 倍以上のズーム倍率で撮影する際、10 点以上の写真を 1 枚の写真に合成することでノイズを除きつつ細部を強調する。さらにシーン最適化を有効にすると、AI 深層学習により認識した被写体に合わせた細部の強調や明るさの調整を行う。これにより、故意にぼやけた画像になるよう編集した月の写真を撮影しても、月であると認識しさえすれば明るくはっきりした月の写真が得られるようだ。シーン最適化を使いたくなければ、カメラの設定で無効化することも可能とのことだ。

関連ストーリー：
スマホで撮影された月、実は合成画像？メーカーは否定 2022年11月11日

スラド
Virgin Orbit、資金繰り悪化で 21 日まで事業停止 2023年3月19日 16:13

Virgin Orbit、資金繰り悪化で 21 日まで事業停止

スラド

著者:headless

2023年3月19日 16:13

あるAnonymous Coward 曰く、

米宇宙ベンチャーのVirgin Orbit が資金繰りの悪化により、3月21日まで一時的に事業を停止すると米証券取引委員会に届け出ている (Form 8-K、ロイターの記事, CNBC の記事)。

報道によれば、業務停止は新たな投資計画がまとまるまで時間を稼ぐのが目的で、ほぼ全ての従業員が対象だという。資金調達に向けた交渉では戦略的な選択肢を検討しているとのこと。同社の株価は 30% 急落している。

同社は 2021 年に空中発射ロケット「LauncherOne」の打ち上げに成功したものの、今年 1 月の打ち上げは失敗した。LauncherOne は日本の大分空港からの打ち上げも計画しており、宇宙ベンチャーの中では日本と関係が深いかもしれない。親会社のヴァージングループは大企業であるが、コロナ禍でグループ内の航空会社なども倒産している。

スラド
Google Pixelのマークアップツールで編集前の画像が復元できる脆弱性、エクスプロイトが公開 2023年3月19日 14:12

Google Pixelのマークアップツールで編集前の画像が復元できる脆弱性、エクスプロイトが公開

スラド

著者:headless

2023年3月19日 14:12

Google は Pixel の「マークアップ」ツールで発見された脆弱性 (CVE-2023-21036) を 3 月のアップデートで修正したが、これを利用するエクスプロイト「aCropalypse」が公開されている (エクスプロイト作者のブログ記事、 9to5Google の記事、 Android Police の記事、 Simon Aarons 氏のツイート)。

マークアップはスクリーンショット撮影時に表示され、画像のクロップや書き込み・塗りつぶし等を可能にする。CVE-2023-21036 では編集の結果を保存する際にファイルサイズを切り詰めずに新しい画像データを上書きするため、元のデータが一部残されてしまう。具体的な処理を知ることは難しいが、エクスプロイト作者の David Buchanan 氏は Android 10 以降で 2021 年に修正された ParcelFileDescriptor.parseMode のバグとみているようだ。

脆弱性が修正されても既に保存したファイルが更新されるわけではない。このような画像をソーシャルメディアアプリやメッセージングアプリなどで送信する場合、読み取れない元の画像データはメタデータとともに削除されるが、Discord では 1 月までこのような処理が行われていなかったという。そのため、それ以前にアップロードしたスクリーンショットでは、隠したつもりの部分が復元されてしまう可能性がある。

エクスプロイトの作者が過去に使用していた Pixel 3XL のスクリーンショットを Discord からダウンロードして復元処理を行ってみたところ、eBay の確認メールのスクリーンショットから自宅住所全体が復元されたそうだ。なお、復元処理はすべてローカルで行われるとのことだ。

ノーマルビュー