悪意あるPyPIパッケージ発見される、タイポスクワッティング狙いか

2023年2月20日 13:31

セキュリティ企業のPhylumは、PyPI (Python Package Index)リポジトリに大量の不正なPyPIパッケージが登録されているとの報告を行った。それによると、マルウェアをPython開発者のシステムに感染させる450以上の悪意のあるPyPIパッケージが公開されているという。内容は過去に見つかったものや2022年11月に同社が発見したものと同種の攻撃と分析されているが、今回はそのときの約20倍のPyPIパッケージが公開されているという（Phylum、TECH+）。

このパッケージ群は、ユーザーがWebブラウザにURLを入力する際に犯す打ち間違いを悪用する「タイポスクワッティング」を意図したサイバー攻撃とされる。例えばvyperの場合、一文字削除(yper/vper)や一文字重複(vvyper/vyyper)、二文字の転置(yvper/vpyer)など複数パターンで合計13個のPyPIパッケージが登録されていたことが分かっているとのこと。

Numba開発の内情

スラド

著者: nagazou

2023年2月8日 14:37

Python向けのJITコンパイラ「Numba」に関して、そのGithub上でその開発における内情が紹介されている。Python 3.11をサポートしたいわゆる新バージョンの「進捗どうですか？」の質問に回答する形でおこなわれている。曰く、NumbaはPythonのバイトコードで動作しており、Pythonのマイナーリリースごとに、Numbaを新しいバイトコードのバージョンに追従させる必要があり、その作業には3～6か月の期間、作業が必要であるとしている（GitHub）。

すべて読む | デベロッパーセクション | デベロッパー | Python |

Python3.11リリース

スラド

著者: nagazou

2022年10月27日 13:25

Python Software Foundationは25日、メジャー安定版リリース「Python 3.11.0」をリリースした（Pythonリリース、GIGAZINE、The Register）。Python 3.11の最大の特徴は高速化された点にある。Python 3.10から10％~60％の高速化が図られ、平均で1.25倍という高速化に成功したとしている。そのほかの一般的な変更改善点としては、

PEP-657:Tracebackでエラー位置の詳細が追加される
PEP-654:例外グループとexcept*
PEP-680:標準ライブラリでのTOML解析のサポート
gh-90908:「asyncio」にタスクグループを導入
gh-34627:アトミックグループと量指定子の正規表現が追加

が上げられる。開発者向けとしては特定のPythonエラーメッセージをより明確に通知するPEP-657が注目点であるようだ。このほかタイピング周りの変更等もおこなわれている。

Pythonに4件の脆弱性。修正版のv3.10.8が登場

スラド

著者: nagazou

2022年10月14日 13:27

スクリプト言語「Python」のセキュリティアップデートが、10月11日に公開された（Python Insider、窓の杜）。「Python 3.10.8」は定例のリリース扱いだが、他のバージョンでもいくつかの修正があったため、v3.10.8、v3.9.15、v3.8.15、v3.7.15の4バージョン同時のリリースとなった。なおタレコミがされた時点ではx64用は公開されていなかったが、現時点では利用可能となっている。今回修正された脆弱性は次の通りとなっている。

あるAnonymous Coward 曰く、

CVE-2022-40674：同梱の「libexpat」ライブラリにヒープ解放後メモリ利用（use-after-free）。「libexpat」v2.4.7からv2.4.9への更新で解決。
gh-97616：「list *= int」で発生する可能性のあるバッファーオーバーフローを修正。
gh-97612：サンプルスクリプト「get-remote-certificate.py」におけるシェルインジェクション（CVE番号が割り当てられていたが撤回）。
gh-96577：「msilib」におけるバッファーオーバーラン。

Coconut v2.0.0リリース

スラド

著者: nagazou

2022年10月13日 06:11

Pythonと互換性のある言語として知られている関数型言語「Coconut」がバージョンアップを果たし「v2.0.0」となった。Coconut初のメジャーバージョンリリースとなり、多くの部分が変更されている。変更点としては、Python 3.10のアップデートがおこなわれたことで、Coconut側のパターンマッチングのルールと衝突するようになったことから、Python 3.10に合わせた形に変更、互換性を確保した。またv2.0.0では、多次元配列のリテラル/連結構文などの新機能が導入された（GitHubのリリース）。

すべて読む | デベロッパーセクション | Python |

関連ストーリー：
Python 3.10リリース 2021年10月07日

Python Software Foundation、商標登録の不使用取消審判に成功

スラド

著者: nagazou

2022年5月6日 18:09

プログラミング言語「Python」は、米Python Software Foundationがその管理を行っている。栗原潔氏の記事によると、Pythonの商標登録は、9類（ソフトウェア関連）と42類（コンピューター関連）については、同団体が取得している。しかし、9類（電気通信機器等）、16類（紙類）、41類（経営セミナー開催等）、42類（デザインの考案）に関しては、同団体に先駆けてアークという日本の研修サービス企業が商標登録（登録6042638号）を行っていた。このため、国内のIT関係者の間で無効申請すべきかなどの議論がされていた（Yahoo!ニュース個人）。

先の記事によると、Python Software Foundationは2021年の5月に不使用取消審判を請求、4月20日に、アークの商標登録をすべての指定商品・役務について取り消す旨の審決が行われたとしている。その結果、ほぼ確実に問題が解消し、Python Software Foundationが9類（電気通信機器等）、16類、41類、42類についてもPythonの商標権を獲得できる方向で進んでいる模様。

すべて読む | デベロッパーセクション | パテント | Python |

Pythonソフトウェア財団、PyPlの有料組織向け機能の担当を2名募集。年収最大1133万円

スラド

著者: nagazou

2022年2月21日 14:02

Python Software Foundationが、「PyPI」の新機能を構築するための人員二人を募集中だそうだ。業務内容としては組織アカウント機能のコーディングやテスト、レビュー、文書化と配布などを行う。これには1人のバックエンド開発者と1人のフロントエンド開発者が含まれるとしている。どちらの業務もリモートで行える年、それぞれの1週間の稼働時間は35時間としている。給与に関しては最大で9万8000ドルだとしている。履歴書的な意味合いを持つ提案依頼書（RFP）の受付が2月16日から開始、3月4日に締め切られる。その後は審査諸々を経て実際の業務開始は4月1日からになる模様（Python Software Foundation、PyPI 2022 Request for Proposals）。

Python、2 年連続 TIOBE Index で最もレーティングを伸ばしたプログラミング言語に

スラド

著者: headless

2022年1月8日 17:18

TIOBE Index で 1 年間に最もレーティングを伸ばした TIOBE Programming Language of the Year のタイトルを 2 年連続で Python が獲得した (The Next Web の記事)。

TIOBE Index では開始以来 Java と C が不動のトップ 2 だったが、2020 年に入って Java が急速にレーティングを落とし、2020 年 11 月には Python が Java を抜いて Java と C 以外の言語で初めて 2 位となった。Python はその後 Java と横並びの状態が続いており、2021 年は 3 位でスタートしたが、10 月に C を抜いて初めて 1 位となって以来トップを維持。11 月以降は C に 1 ポイント以上の差をつけている。Python は Language of the Year のタイトルを最も多く獲得しており、今回が 5 回目だ。最近 5 年間では 3 回獲得している。後の 2 回は C が獲得しており、累計獲得数は 3 回で Python に続く。

1 月の TIOBE Index では 1 位の Python が前年同月比 1.86 ポイント増の 13.58 % となる一方、2 位の C は 4.94 ポイント減 (12.44 %)、3 位の Java は 1.30 ポイント減 (10.66 %) と大きくレーティングを減らしている。このほかの言語でレーティングが 1 ポイント以上変動したのは 5 位の C# (5.68 %、+1.73) のみ。C# は 12 月までタイトルを獲得する勢いだったが、Python が 1 月に逆転した。

4 位の C++ (8.29 %、+0.73) や 6 位の Visual Basic (4.74 %、+0.90) が 0.5 ポイント以上増加し、11 位の PHP (1.40 %、-0.60)や 12 位の R (1.25 %、-0.65)、17 位の Groovy (0.94 %、-0.90) が 0.5 ポイント以上減少している。Groovy はランキングも前年の 10 位から大きく下げており、19 位の Fortran (0.77 %、+0.31) が前年の 30 位から大きく上昇している。

関連ストーリー：
2021年10月版のTIOBE IndexでPythonが1位に 2021年10月13日
4月のTIOBE IndexでObjective-Cがトップ20落ち、Fortranがトップ20入り 2021年04月08日
Python 30周年 2021年02月21日
11月のTIOBE Index、Pythonが初の2位 2020年11月07日

2021年10月版のTIOBE IndexでPythonが1位に

スラド

著者: nagazou

2021年10月13日 13:01

Ijon 曰く、

TIOBE Index for October 2021でPythonが１位になった。 Pythonが増えたというより、C(とJava)のレートが下がった結果なので、使われているプログラミング言語が多様化しているというべきか。
Pythonにもpattern matchが入って、特定の言語でないとできないことも少なくなっているので、CやJavaのようにPython variantもいろいろ出てきてほしい。

2021年10月版のTIOBE IndexでPythonが1位を獲得した。2001年6月に集計が始まって以来初めてのことだという。TIOBEのポール・ヤンセンCEOは「Perlに代わるスクリプト言語としてスタートしたPythonが成熟してきた。学習のしやすさ、膨大な量のライブラリ、あらゆる領域で普及したことにより、現在最も人気のあるプログラミング言語となった。おめでとう」とするコメントを出している（TIOBE Index for October 2021、INTERNET Watch、GIGAZINE）。

Python 開発者に最も適した欧州 4 都市

スラド

著者: headless

2021年10月9日 13:32

Python 開発者に最も適した欧州の都市を The Next Web (TNW) が 4 都市選定している (TNW の記事)。

選定基準は TNW と提携する Jobbio の求職情報でスキルとして Python を要求する数の多さだ。具体的な求職件数は記載がなく、順位もつけられていないが、選定された 4 都市はダブリン・ロンドン・ベルリン・アムステルダムとなっている。

ダブリンには 1,200 社以上のスタートアップ企業があり、世界的なテクノロジー企業の 80 % が拠点を置く。グランドカナルドック周辺の地域には Google や Facebook、Amazon、eBay、Microsoft のオフィスがあり、シリコンドックスとも呼ばれている。

ロンドンは出し惜しみしない投資家と裕福な消費者、巨大企業により欧州有数のテクノロジーハブとなっている。フィンテックからファッシュテックまであらゆる分野をカバーするテクノロジー企業が推計 4 万社あり、スタートアップから多国籍大企業まで希望の職場が見つけられるとのこと。

ベルリンでは市内で 20 分に 1 社の割合で設立されるというスタートアップ企業が 2020 年までに 10 万件の雇用を創出しており、鈍化する兆しはないそうだ。スタートアップ企業の多いトールシュトラッセ付近はシリコンアレイとしても知られる。

TNW の本拠地でもあるアムステルダムには Netflix や Apple、LinkedIn、Google など国際的なテクノロジー企業およそ 578 社がオフィスを置くほか、数多くのアクセラレーター/インキュベータープログラムにより欧州各地から新しいブランドを引き付けている。ロンドンやベルリンといった大都市の喧騒を好まないならアムステルダムが最適とのことだ。

Python 3.10リリース

スラド

著者: nagazou

2021年10月7日 13:34

Python Software Foundationは4日、Python言語の最新バージョンとなる3.10.0をリリースした。公式ブログによると主要な新機能と変更点は以下の通りとなっている（Python Insider、TECH+）。

PEP 623 – Deprecate and prepare for the removal of the wstr member in PyUnicodeObject.
PEP 604 – Allow writing union types as X | Y
PEP 612 – Parameter Specification Variables
PEP 626– Precise line numbers for debugging and other tools.
PEP 618 – Add Optional Length-Checking To zip.
bpo-12782: Parenthesized context managers are now officially allowed.
PEP 632 – Deprecate distutils module.
PEP 613 – Explicit Type Aliases
PEP 634 – Structural Pattern Matching: Specification
PEP 635 – Structural Pattern Matching: Motivation and Rationale
PEP 636 – Structural Pattern Matching: Tutorial
PEP 644 – Require OpenSSL 1.1.1 or newer
PEP 624 – Remove Py_UNICODE encoder APIs
PEP 597 – Add optional EncodingWarning

あるAnonymous Coward 曰く、

でもcoconutがうまく入らないから3.9.7に戻す予定

情報元へのリンク

すべて読む | デベロッパーセクション | デベロッパー | Python |

PyPI で公開されているパッケージの半数近くが何らかのセキュリティ上の問題を含むとの調査結果

スラド

著者: headless

2021年8月1日 19:24

Python パッケージの公式リポジトリ PyPI で公開されているパッケージの半数近くに何らかのセキュリティ上の問題が含まれるとの調査結果が発表された(The Register の記事、論文)。

対象は PyPI に保存されている全パッケージ 19 万 7 千件以上のスナップショットで、静的コード解析ツール Bandit を用いて調査している。セキュリティ上の問題は exec 関数の使用やパスワードのハードコードといったものから、セキュアでない例外処理やハッシュ関数の使用、SQL インジェクションや XSS が可能といったものまで幅広い。調査の結果、約 75 万件の問題が見つかり、46 % のパッケージが少なくとも 1 つの問題を含んでいたとのこと。

ただし、見つかった問題の半数以上を占める約 44 万件は深刻度の低いものであり、約 23 万件が深刻度中、約 8 万件が深刻度高に分類される。深刻度低の問題を含むパッケージは全体の 35.8 %、深刻度中は 25.3 %、深刻度高は 11.4 % にとどまる。また、今回の調査では誤検出・検出漏れや実際の使用では実行されないコードが検出されている可能性のほか、調査時に展開されなかったファイルが含む問題や Python 以外の言語で書かれたコードに含まれる問題は検出できないといった制約もあるとのことだ。

PyPI で暗号通貨採掘マルウェアを含む悪意あるパッケージが見つかる

スラド

著者: headless

2021年6月26日 13:32

Python パッケージの公式リポジトリ PyPI で見つかった暗号通貨採掘マルウェアを含む6つのパッケージについて、発見した Sonatype が解説している(Sonatypeのブログ記事、 Ars Technicaの記事)。

暗号通貨採掘マルウェアは Sonatype のマルウェア検出ツール Release Integrity により発見されたもので、「maratlib」「maratlib1」「matplatlib-plus」「mllearnlib」「mplatlib」「learninglib」の6本。いずれも同じ作者により早ければ4月に PyPI で公開されており、PePyによればSonatypeのブログ記事公開時点で合計5,000回近くダウンロードされている。

うち5本は「maratlib」との依存関係が設定されており、「maratlib」のダウンロード回数が2,371回と最も多い。また、「matplatlib-plus」と「mplatlib」は「matplotlib」の誤入力によりダウンロードさせるタイポスクワッティングを狙ったものとみられ、「matplatlib-plus」のダウンロード回数は913回で「maratlib」に次ぐ多さとなっている。

「maratlib」は激しく難読化されているが、最終的には作者の GitHub リポジトリから暗号通貨採掘 Bash スクリプトをダウンロードして実行する仕組みになっていたとのこと。

PyPIでは2017年にもタイポスクワッティングを狙った悪意ある偽パッケージが発見されているが、その後も悪意あるパッケージの新規公開が続いているようだ。Release Integrity は元々 npm に注力してきたが、この数週間 PyPI パッケージを対象に試験運用したところ、3,157本以上の悪意あるパッケージが見つかったとのことだ。

すべて読む | デベロッパーセクション | セキュリティ | Python |

IronPython、Python3に対応したバージョン「IronPython 3」を公開

スラド

著者: nagazou

2021年4月27日 07:05

あるAnonymous Coward 曰く、

Pythonのインタプリタ等々をCししやしゃしゃー♯というか.Netにしたものです。長年更新が止まっていたもののPython3.4に対応した模様です。尤もPythonの現行最新版は3.9あたりですが。

情報元へのリンク

プログラミング言語「IronPython」が4月20日（日本時間）、IronPython 3となってリリースされた。IronPythonは.NET Frameworkに対応したPython。最新版は2020年11月にリリースされたものだが、ベースとなっているPython 2のサポートは昨年終了していることから、IronPython側も「Python 3」に準拠したバージョンの登場が期待されていたとのこと。リリースされた「IronPython 3」のバージョンは「IronPython 3.4.0-alpha1」となっている（GitHub、IronPython Team公式Twitter、窓の杜）。

すべて読む | デベロッパーセクション | プログラミング | Python |

関連ストーリー：
Oralceの対Google訴訟、プログラミングの将来を危うくしている 2012年05月02日
C# 4.0は「動的言語」にもなる 2008年12月04日
Python 2.5 リリース 2006年09月20日
IronPython1.0リリース 2006年09月08日
.NET IronPython 1.0 ベータリリース 2006年01月05日

Python 30周年

スラド

著者: headless

2021年2月21日 13:46

プログラミング言語Pythonが2月20日に30周年を迎えた(VentureBeatの記事、 The Registerの記事)。

オランダ・CWIでABC言語の実装を経験したPython創始者のGuido van Rossum氏は、自身の不満を解消するためにABC言語を拡張することは不可能だと感じており、Amoeba分散OSのシステムコールにアクセスするABCライクな文法のスクリプト言語としてPythonを考案。しかし、Amoeba専用の言語を開発するのはばかげていると気付き、一般に拡張可能な言語にしたという。van Rossum氏は1989年のクリスマスの休日を使ってPython開発に着手し、翌年も余暇を使って開発を続けた。PythonはAmoebaプロジェクトでも成功を納め、1991年2月20日に最初の公開バージョンとなるPython 0.9.0がUSENETでリリースされた。「Python」という名称は当時van Rossum氏が英BBCのコメディーシリーズ「空飛ぶモンティ・パイソン」の台本を読んでおり、短くユニークで少しミステリアスな名前として選んだとのこと。

容易に学習して開発できるPythonの人気は最近急上昇している。2020年11月のTIOBE IndexではJavaとC以外の言語で初めて2位となり、1月には過去最多となる4回目のTIOBE Language of the Yearにも選ばれた。その後は再び3位に下がっているが、2位のJavaとの差は1ポイント未満となっている。

すべて読む | デベロッパーセクション | デベロッパー | Python |

11月のTIOBE Index、Pythonが初の2位

スラド

著者: headless

2020年11月7日 15:25

11月のTIOBE IndexでPythonが初めてJavaを上回り、2位に上昇した(InfoWorldの記事、 Neowinの記事)。

JavaはCとともにTIOBE Index開始当時から不動のトップ2で、2015年4月以降は1位を維持していた。しかし、今年3月以降急速にレーティングを落とし、5月以降はCが1位となっている。一方、Pythonは2017年後半からレーティングを伸ばしており、2018年後半にはC++と並び、2019年半ばからは完全にC++を上回って(2位との差が大きい)3位を維持していた。

11月のレーティングはPythonが前年から2.27ポイント増の12.12%、Javaは4.57ポイント減の11.68%となっている。1位のCは0.17ポイント増の16.21%とわずかな増加にとどまるが、2位以下との差は広がっている。

このほか、増加幅が1ポイントを超えたのは4位のC++(7.60%、+1.99)のみで、減少幅が1ポイントを超えたものはない。いずれも増加幅は小さくレーティングも1%前後だが、R(16位→9位)やPerl(21位→12位)、Go(20位→13位)、Transact-SQL(32位→20位)が大きく順位を上げている。逆にSwift(10位→14位)やRuby(11位→15位)、Delphi/Object Pascal(13位→18位)、Objective-C(12位→19位)は大きく後退した。

Pythonの人気が上昇した理由としてはデータマイニングやAI、数値計算といった分野での需要増が挙げられることも多い。一方、TIOBE Software CEOのPaul Jensen氏はプログラミングがソフトウェアエンジニアだけのものではなくなり、容易に学習して開発可能なプログラミング言語の需要にPythonがマッチしていることを挙げている。スラドの皆さんのご意見はいかがだろうか。

英グレーターマンチェスター交通局、蛇をマスクとして使用しないよう注意喚起

スラド

著者: headless

2020年9月20日 11:43

蛇をマスクとして使用しないよう、英グレーターマンチェスター交通局が注意喚起しているそうだ(BBC Newsの記事、 The Vergeの記事)。

この件は14日、首に巻いた大蛇で顔を覆った男性がスウィントンからマンチェスターへ向かうバスに乗車しているのが目撃されたことを受けたものだ。同じバスを利用していた乗客の一人は実際に蛇が手すりを這っているところを見るまで単なる珍しいマスクだと思っていたといい、他の乗客が迷惑している様子もなかったと証言している。

グレーターマンチェスター交通局では6月15日から、子供など一部の例外を除いて公共交通機関利用時には顔(鼻と口)を覆うことを義務付けている。サージカルマスクなど市販のマスクを使用する必要はなく、スカーフやバンダナなどを使用することも可能だ。どのような素材を使用するかは各自の解釈にゆだねられているが、蛇皮、特に生きた蛇に付いている皮にまで拡大解釈できるとは考えていないとのことだ。

Python 2最終バージョン、Python 2.7.18リリース

スラド

著者: headless

2020年4月25日 17:18

Python Software Foundationは20日、Python 2最終バージョンとなるPython 2.7.18をリリースした(Python-Devメーリングリスト投稿、 The Registerの記事、 InfoWorldの記事、 Sunsetting Python 2)。

既にPython 2のサポートは1月1日で終了しているが、最終バージョンの2.7.18はPyCon 2020開催に合わせて4月にリリースすることが予告されていた。ただし、リリースマネージャーは1月1日に開発の停止とコードベースの凍結を行っており、変更は前バージョン2.7.17のリリースされた2019年10月19日から2020年1月1日までに追加された改善点のみとなる。Python 3からのバックポートは含まれない。

なお、サポート期間内の商用Linuxディストリビューションに同梱されているPython 2は引き続き各ディストリビューションメーカーがサポートする。そのため、Python 2が完全に歴史的遺物になるのはRed Hat Enterprise Linux 7のサポートが終了する2024年6月になることが見込まれている。

リーディングビュー