スラド
ムシヒキアブ科の昆虫5種、マーベルコミックスにちなんだ学名が付けられる 2020年7月31日 18:00

ムシヒキアブ科の昆虫5種、マーベルコミックスにちなんだ学名が付けられる

2020年7月31日 18:00

headless 曰く、

オーストラリア連邦科学産業研究機構(CSIRO)では、マーベルコミックスにちなんだ学名をムシヒキアブ科の昆虫5種に付けたそうだ(ニュースリリース、 BBC Newsの記事、 ABC Radioの記事、 BrytjeFlyGuyことCSIROのBryan Lessard氏による解説動画)。

Humorolethalis sergiusはデッドプールにちなんだ学名だ。他の昆虫を捕食するムシヒキアブ科は暗殺者であり、胸部の模様がデッドプールのマスクに似ていることが命名の理由だという。新設された属名のHumorolethalisはラテン語で濡れた・湿ったという意味を持つhumorosusと、死んだという意味のlethalisを組み合わせたもので、lethal humor(死を招くユーモア)にも音が似ているとのこと。

あとの4種はいずれもDaptolestes属で、「金髪の雷」を意味するDaptolestes bronteflavusはソー、「優雅な嘘」を意味するDaptolestes illusiolautusはロキ、「レザーを着た女」を意味するDaptolestes feminategusはブラック・ウィドウにちなんだ学名だという。さらに、サングラスと口髭のような顔の模様が特徴のDaptolestes leeiはマーベルコミックス原作者のスタン・リーにちなんで名付けられたとのことだ。

スラド
セキュリティ対策されていないデータベースを「ニャー」に書き換えるニャー攻撃が相次ぐ 2020年7月28日 16:00

セキュリティ対策されていないデータベースを「ニャー」に書き換えるニャー攻撃が相次ぐ

スラド

著者: nagazou

2020年7月28日 16:00

あるAnonymous Coward 曰く、

セキュリティ研究者の報告によれば、ここ2週間ほどの間に、インターネット上に保護されずに公開されている脆弱なデータベースに対して、ほぼ全てのデータが削除された上に「Meow (ニャー)」という猫の鳴き声だけが書き残される「Meow Attack (ニャー攻撃)」が相次いでいるという（GIGAZINE、Slashdot）。

最初に発見されたのは香港のVPN業者UFO VPNのDBへの犯行で、研究者がDBがインターネット上に公開されている旨を企業とやり取りしていたところ、7月21日にDBのデータが削除され、「meow」の文字が残されているのを発見したという。ニャー攻撃はその後も拡大を続けており、27日現在までに、ElasticsearchやMongoDB、Apache Cassandraも含めて4000件以上が被害を受けたとのこと。

当然ながら、インターネット上に保護なく公開されたDBは以前から攻撃を受けているが、だいたいの場合はランサムウェアで身代金を要求されるか、単純に削除されるかとのことで、わざわざ「ニャー」とメッセージを残していく動機は不明。一方で手段については、スクリプトでProtonVPNを経由して行われているとの分析がされている。発見した研究者は「簡単に攻撃可能なほど無防備なので、面白半分でやっているのでしょう」と語っている。

情報元へのリンク

スラド
日本ではバッタではなくカメムシが全国に大量発生。今年は果物が高くなるかも 2020年7月18日 07:09

日本ではバッタではなくカメムシが全国に大量発生。今年は果物が高くなるかも

スラド

著者: nagazou

2020年7月18日 07:09

あるAnonymous Coward 曰く、

世界ではバッタの大量発生による蝗害が話題になっているが、実は国内でもカメムシ類が大量発生する問題が指摘されている（令和2年度病害虫発生予報第4号[PDF]、読売新聞、まいどなニュース）。

農林水産省が発表している「病害虫発生予察情報」でも、6月10日の「病害虫予報第3号」では西日本を中心に14県に注意報が発令、その後の4号となる7月1日版でも6県から注意報が発令、関東や東北などでも発令が確認されている。また14日には群馬県でも発令が確認されている。群馬県での発令は6年ぶりだという。

過去のニュースによれば、昨冬が記録的な暖冬だったことで、冬を越した成虫が大量に発生したのが原因だとしている。カメムシが大量発生するとモモやブドウ、カキ、かんきつ類の果汁を吸い、吸われた果実は商品価値が喪失してしまうとされている。

7月14日時点で病害虫発生予察情報（カメムシ注意報）が発令されている府県は以下の通り
富山、岐阜、愛知、滋賀、兵庫、奈良、岡山、山口、香川、愛媛、福岡、佐賀、長崎、熊本、福島、栃木、長野、石川、京都府、鳥取、広島、群馬

すべて読む | セキュリティセクション | 日本 | 地球 | セキュリティ | バグ | ワーム |

関連ストーリー：
タガメ、希少動物として規制対象に 2020年01月22日
吸排気口がテープで塞がれた販売機、虫対策のためか 2019年08月26日
パクチー嫌いかどうか調べられるDNA検査サービス 2018年07月03日
新幹線ポイント故障、原因は虫 2010年09月06日

スラド
NETGEARの無線LANルータ経由でファイル転送するとデータが破損するという報告 2020年7月17日 16:03

NETGEARの無線LANルータ経由でファイル転送するとデータが破損するという報告

スラド

著者: nagazou

2020年7月17日 16:03

あるAnonymous Coward 曰く、

NETGEARの無線LANルータ経由でファイル転送すると特定の条件下でデータが破損するというツイートが話題になっている（タレコミ時点で790RT）。

ツイート主のtokkyo氏によれば、APモードのR7800でデータをコピーすると毎度データが破損するこの現象は、海外のネットワーク製品コミュニティで既知のバグとして報告されていたようだ(R7800 data corruption when in Accesspoint mode | SmallNetBuilder Forums)。

昨年1月からのコミュニティの書き込みによれば、この現象は4～5年前の旧機種にあたるR7500でも発生していたといい、700MB程度の大きなファイルを転送する際に、無線/有線を問わず、SMB/FTP/SCPといったプロトコルで発生するという。NETGEARに問題を報告したユーザーによれば昨年10月時点では調査中だったようだが、その後のことは明らかになっていない。

ファイルが正常に転送されたかに見えて破損しているというのは、ぞっとする話である。

スラド
蝗害の元となるバッタの群れを追うバッタハンターという職業。国連のお仕事 2020年7月10日 14:00

蝗害の元となるバッタの群れを追うバッタハンターという職業。国連のお仕事

スラド

著者: nagazou

2020年7月10日 14:00

アフリカでもサバクトビバッタの繁殖で蝗害が広がっているが、その蝗害を追跡するために「バッタハンター」なる職業があるそうだ。

この職業はバッタたちを追跡、駆除しやすい幼虫の段階で発見することを目的にしているようだ。またバッタハンターは、スマートフォンと専用に開発されたアプリを組み合わせ、バッタの様子を写真や動画で記録。バッタの群れの位置や規模や状況などのデータを拠点に送る役割を持つ。

送られたデータは共有され、テクニカルチームによって、国際的なモニタリングやバッタの進路予測などに使用される。予想された進路はその先にある国などへの警告に使われるほか、バッタの増殖を防ぐための農薬を飛行機を使うか、手動で散布するかといった散布計画の判断などにも使用されるとしている。

バッタハンターは国連食糧農業機関（FAO）や地域の政府によって教育され、バッタの探し方や、専用アプリであるeLocustの使用方法などが訓練されるそうだ（FAO、テレ東NEWS）。

関連ストーリー：
バッタの大群、インド首都にまで到達 2020年06月30日
アフリカでバッタ被害第二波 2020年04月14日
国連食糧農業機関が「昆虫は有望な食料」という報告書をまとめる 2013年05月16日

スラド
NETGEAR製品に幅広く影響するゼロデイ脆弱性が見つかる。ZDIが一斉公開 2020年7月3日 19:26

NETGEAR製品に幅広く影響するゼロデイ脆弱性が見つかる。ZDIが一斉公開

スラド

著者: nagazou

2020年7月3日 19:26

80個近いネットギア製のネットワーク製品に脆弱性があること報じられている。脆弱性を悪用された場合、攻撃者に管理者権限で任意のコードを実行される可能性があるとされる（マイナビ）。

あるAnonymous Coward 曰く、

トレンドマイクロが運営するZero Day Initiative (ZDI)は6月15日、NETGEAR製品に幅広く影響する計10件の脆弱性を公開した（JVNの発表）。この脆弱性はTeam FlashbackのPedro Ribeiro氏とRadek Domanski氏、およびVNPT ISCを通じてd4rkn3ss氏によって報告された。10件中8件はリモートからの任意コード実行が可能となるもので、Web管理画面のCGIプログラムに対するバッファオーバーフロー攻撃などで発生する。JVNによると以下の諸問題のため、影響が深刻化するおそれがあるという。
当該製品では httpd が root 権限で動作している
Netgear 製品では、バッファオーバーフロー対策に用いられる Stack cookie (カナリア値) が使用されていないものが多い
本脆弱性の攻撃には認証を必要としない
CSRF 対策のトークンがチェックされる前の段階で本脆弱性の攻撃が可能
機器の情報が /currentsetting.htm ページを閲覧するだけで取得できるため、攻撃者にとって攻撃対象の選定が容易
すでにZDIによってZDI-20-709の解説と実証コードが公開されているほか、サイバーセキュリティ組織のGRIMMも独自にZDI-20-712に相当する脆弱性を発見・報告しており、その解説と実証コードが公開されている。 ZDIでは2019年11月から2020年2月にかけてNETGEARに脆弱性を報告して公表に向けた調整を進めていたが、報告から120日が経過したため、修正プログラムの提供を待たず公表に踏み切ったという。NETGEARは6月18日にセキュリティアドバイザリを公開、一部製品については修正プログラムの提供を開始し、残る製品についてはリモート管理機能をオフにする回避策を推奨している。最大で80種類近くの製品が影響を受ける可能性があり、米CERT/CCが脆弱性の影響を受ける製品一覧とそれらの対応状況をGoogle スプレッドシートで公開している。

情報元へのリンク

スラド
バッタの大群、インド首都にまで到達 2020年6月30日 17:29

バッタの大群、インド首都にまで到達

スラド

著者: nagazou

2020年6月30日 17:29

あるAnonymous Coward 曰く、

アフリカやアルゼンチンなど、世界各地で蝗害被害が報告されているが、インドでは首都ニューデリーにも「サバクトビバッタ」の大群が近づいている。CNNなどによると、一部はすでにニューデリーにも到達しているという（CNN、TBS、WIRED、朝日新聞）。

ニューデリー近郊のグルガオン市には27日の午前11時半に到達。数千匹が町に襲来した。インド政府はドラムや爆竹、太鼓などを鳴らして群れを追い払うなどの対策を住民に伝達。また、ドローンを使って殺虫剤を散布するなどの対処もしている模様。しかし、現地住民がアップしている写真や動画を見る限り、音だけで対処できる感じではないと思われる（スプートニク）。

日経新聞によれば、同じくニューデリー近郊のハリヤナ州にも到達したと報じられている。同州には農地が多いことから食料被害が心配される。同じハリヤナ州の都市グルグラムには日系の企業も数多く進出しているとされる（日経新聞）。

すべて読む | ITセクション | 地球 | バグ |

スラド
新型コロナ接触確認アプリで発見された不具合、OSS利用をめぐる議論にまで発展 2020年6月24日 17:14

新型コロナ接触確認アプリで発見された不具合、OSS利用をめぐる議論にまで発展

スラド

著者: nagazou

2020年6月24日 17:14

19日から配信が開始された新型コロナウイルス「新型コロナウイルス接触確認アプリ（COCOA）」だが、いくつかの問題点や不具合などが報告されている。このアプリはオープンソースソフトウェア（OSS）で開発されたためか、OSS利用をめぐる議論になってしまっている面もあるようだ（ITmedia、Togetter、note）。

問題が指摘されている不具合としては、Twitterのまとめなどやメディアでの報道なども行われているが、そうした厳しい批判を受け、COCOAのもとになった「COVID-19Radar」の中心的人物である廣瀬一海さんは、「この件でコミュニティはメンタル共に破綻しました」として、次のリリースで開発から離れることを自身のTwitterで表明している。

一方でCOVID-19Radarのプロジェクトとは別に接触確認アプリの開発を進めていた、一般社団法人コード・フォー・ジャパンの関治之代表は、「（前略）OSSで作られたものを最終製品として責任持って納品すべきなのは委託事業者であり、製品の受け入れテストをしてリリース判断をするのも、わかりやすく広報をすべきなのは政府である。」としてチームを擁護している。

今回の件は、開発条件や納期、Appleの規約、AppleとGoogleの共通通信規格が「1国1アプリ」「保健当局の開発」に限られるといった条件が絡み合った上で発生したものだと思うが、果たしてどうあるべきだったのだろうか？

スラド
Amazonへの間違い喫茶が頻繁にかかってくる「コーヒーショップアマゾン」 2020年6月23日 16:43

Amazonへの間違い喫茶が頻繁にかかってくる「コーヒーショップアマゾン」

スラド

著者: nagazou

2020年6月23日 16:43

京都市内のある喫茶店に数年前から、間違い電話が頻繁にかかってくるそうだ。喫茶店の店名は「コーヒーショップ　アマゾン」。同店に通販サイトのAmazonの利用者から間違い電話がかかってくるようになったのは２、３年前のことだという。多い時には月10回ほど間違い電話が来るようだ。

店の人が『こちらは喫茶店です』と答えても『ああ、喫茶部門の方ね。カスタマー部門につないでいただけますか』と言われたこともあったそうだ。喫茶店の人は対策として、今度から電話では『喫茶アマゾンです』と言うようにします」と話している（まいどなニュース）。

すべて読む | ITセクション | 日本 | バグ |

スラド
雇用調整助成金のオンライン受付システムの不具合、「戻る」で他社の情報を閲覧できる状態に 2020年6月11日 12:57

雇用調整助成金のオンライン受付システムの不具合、「戻る」で他社の情報を閲覧できる状態に

スラド

著者: hylom

2020年6月11日 12:57

公開後すぐに不具合が発生したために停止され、その後再公開されるもまたすぐ不具合が確認されて再び停止していた厚生労働省の雇用調整助成金オンライン受付システムだが、再停止になった原因はWebブラウザで特定の画面を閲覧中に「戻る」操作を行うと特定の事業者の申請内容を表示するようになっていたためだという（ITmedia、NHK、日経xTECH）。

表示される情報には役員や従業員の氏名、生年月日、給与、法人の口座情報などが含まれていたとのこと。申請書類をダウンロードすることもできたようだ。厚生労働省はテストが不十分だったとしており、また不具合があるとして停止された最初のバージョンでもこの不具合が発生していた可能性が高い。

このシステムは富士通が約1億円で受注したもので、開発・保守・テストをそれぞれ3社に外注していた。

スラド
人気オープンソースプロジェクトの脆弱性、1年で倍増 2020年6月11日 08:00

アカウント情報流出通知サービス「Have I been pwned?」、通知メール内のテキストが原因でSQLインジェクション脆弱性を意図せず突く

スラド

著者: hylom

2020年6月9日 16:10

headless曰く、

アカウント情報流出通知サービスHave I been pwned?（HIBP）からの通知メールがIT資産管理ツールGLPIのSQLインジェクション脆弱性を意図せず突き、GLPIを使用している企業のヘルプデスクに登録されていたサポートチケットをすべて上書きするトラブルが発生したそうだ（fyr.io、The Register）。
問題の脆弱性CVE-2020-11032はSQLインジェクション文字列を含むチケットを登録し、addme_assignまたはaddme_observerボタンをクリックするとSQLインジェクションが引き起こされるというものだ。この脆弱性はGLPI 9.4.6で修正されており、問題発生時にはGitHubで既に公開されていた。しかし、この時点ではGLPIプロジェクトのダウンロードページは更新されておらず（5月29日のInternet Archiveスナップショット）、影響を受けたMatt氏の会社では脆弱性のあるGLPI 9.4.5を使用していたそうだ。現在はGLPIプロジェクトのダウンロードページでもGLPI 9.4.6が公開されているものの、あわてて差し替えたのかバージョンの下には9.4.5と同じ日付（18/12/2019）が記載されている。
HIBPからの通知メールには「';--have i been pwned?」というロゴが入っているのだが、画像ではなくテキストであり、これがSQLインジェクションを引き起こしたらしい。Matt氏の会社ではヘルプデスクのサポートアドレスを通知先としてHIBPに登録しており、このアドレスで受信した電子メールは自動でチケットに登録される仕組みになっていたという。そのため、Matt氏がチケットを自分に割り当てたところSQLインジェクションが引き起こされ、登録済み全チケットの説明フィールドの内容が消去されてHIBPロゴの一部に置き換えられてしまったとのこと。
Matt氏は実験を繰り返し、「';-- "」の6文字を入力したフィールドが影響を受けることを確認。ここまで手間をかけたうえでバグを報告しようとGitHubページを訪れたところ、1か月近く前に修正済みだったと知ることになる。チケット自体は前夜にバックアップを取っていたため、失われたデータは少なかったとのことだ。

スラド
AppleのOSをクラッシュさせる文字列がまた見つかる 2020年4月26日 09:55

AppleのOSをクラッシュさせる文字列がまた見つかる

スラド

著者: headless

2020年4月26日 09:55

特定の文字列を含む各種テキストメッセージを受信するだけでAppleのOSがクラッシュするというバグがまた発見されたそうだ(9to5Macの記事、 Mac Rumorsの記事、 The Vergeの記事、 Softpediaの記事)。

AppleのOSでは特定の文字列を表示するとアプリやシステムがクラッシュするバグがたびたび報告されてきた。今回の文字列は絵文字のイタリア国旗とシンディー文字の組み合わせだと考えられていたが、他の絵文字でも再現することが指摘されている。Twitterで公開されている実証動画によると、問題の文字列を受信してもすぐにクラッシュ(フリーズ)するわけではなく、しばらくたってから応答しなくなるようだ。実証動画ではiPhoneが使われているが、iPadやMac、Apple Watchにも影響するとのこと。

この問題は15日にリリースされたiOS 13.4.5の2番目のベータ版では修正されているとのことで、同時に2番目のベータ版がリリースされたiPadOS 13.4.5やwatchOS 6.2.5でも修正されている可能性がある。システムが応答しなくなってもデバイスを再起動すれば復旧するが、メッセージを送受信する各アプリで通知を無効化する方法も緩和策として紹介されている。

すべて読む | ITセクション | 通信 | MacOSX | バグ | アップル | iOS |

ノーマルビュー