日本航空「6600円タイムセール」でWebサイトがダウン、通常の予約もできなくなりセール中止

2023年3月10日 12:00

あるAnonymous Coward 曰く、

日本航空 (JAL) が3月9日から期間限定で国内線が片道6600円となる「JALスマイルキャンペーン」を開始したが、アクセス集中でWebサイトがダウン、18時間後に復旧するも、そのままセールが中止されるという事態に陥ったようだ（ITmedia, NHK, 朝日新聞, ライブドアニュース）。

Google Pixel Watch、アラームが正確な時刻に鳴らないという問題

スラド

著者: nagazou

2023年3月7日 17:06

headless 曰く、

Google Pixel Watch でアラームが指定した時刻に鳴らないという問題が数か月前から報告されているようだ (Android Police の記事、 9to5Google の記事)。

具体的にはセットした時間から前後数分ずれた時刻に鳴るというもので、遅く鳴るという報告が目立つ。ある Reddit ユーザーは授乳のため 19 時にアラームをセットしていたが、実際にアラームが鳴ったのは 19 時 1 分だったという。そのため、アラーム項目を削除して新たに作成したところ、今度は 19 時 2 分に鳴ったそうだ。別の Reddit ユーザーは早いときでは 4 分前、遅いときでは 6 分後に鳴ったと報告している。問題が数回だけ発生し、あとは発生しないとの報告もみられる。9to5Google では就寝モードなどの影響を指摘しているが、正確な原因は不明だ。ずれる時間が数分と短いため、気付かずに使い続けている人もいるかもしれない。スラドにPixel Watchユーザーや、実際に問題を目にした方はおられるだろうか。

米政権、ソフトウェアの安全への適切な注意義務を怠った者に責任を負わせる国家サイバーセキュリティ戦略

スラド

著者: headless

2023年3月4日 19:58

米バイデン-ハリス政権は 2 日、すべての米国人が安全なデジタルエコシステムのすべての利点を確実に享受できるようにする国家サイバーセキュリティ戦略を発表した (ファクトシート、 The Verge の記事、 Ars Technica の記事、戦略全文: PDF)。

現在のサイバーセキュリティ防御では個人や中小企業、地方自治体などの負担が大きい。どのように優れたセキュリティソフトウェアでもすべての脆弱性を防ぐことはできないことを認識したうえで、ソフトウェア開発時に適切な注意を怠った者に責任を負わせる必要があるという。ソフトウェアを開発する企業には革新を行う自由が必要なのと同時に、消費者や企業、重要なインフラ提供者への注意義務を果たせなければその責任を負う必要もある。

その責任はエンドユーザーや、商用製品に組み込まれたオープンソースコンポーネントの開発者ではなく、被害を減らすための対策を実施する能力の最も高い利害関係者に移動する必要があるとのこと。これにより、イノベーションとスタートアップ企業や中小企業が市場のリーダーと競うことのできる能力を維持しつつ、市場がより安全なソフトウェアを作り出すようになるとのことだ。

東京書籍の教科書で1000か所余りの間違いが発見、異例の再配布へ

スラド

著者: nagazou

2023年2月22日 12:47

教科書会社大手の東京書籍は、高校1年生向けの「新高等地図」に、1000か所余りの間違いが見つかったとし、先月になって訂正した教科書を再配布しているという。文科省の教科書検定に合格した教科書が再配布となるのは異例だとしている（NHK、毎日新聞、テレ朝news）。

同書は文部科学省の検定を経て、去年4月から全国でおよそ3万6000冊が使われている。見つかった間違いの例としては、カンボジアの首都「プノンペン」を「ブノンペン」と表記。また、イラクの首都は「バグダッド」だがこれを「バグダット」と表記するなどがあった。こうした地名や索引の誤りが多数あったとしている。

またウクライナの首都を「キエフ」から「キーウ」に改めるなど、国際情勢の変化による地名表記変更もおよそ150か所ほど修正したという。東京書籍側は担当者が在宅勤務となり、校閲が十分に行えなかったことが一因と述べているとのこと。

すべて読む | ITセクション | バグ | 教育 | IT |

Tesla、FSD Beta ソフトウェアを使用する車両計 362,758 台をリコール

スラド

著者: headless

2023年2月18日 18:03

Tesla が FSD Beta ソフトウェアを使用する特定の Model S / Model X / Model 3 / Model Y 計362,758台のリコールを米運輸省交通安全局 (NHTSA) に報告している (リコール報告書: PDF、 The Guardian の記事、 Ars Technica の記事、 The Register の記事)。

リコールが必要な問題は運行中の特定の場面でまれに交通違反または慣習に反する動作をする可能性があるというもの。問題が発生する可能性のある場面としては1)特定の交差点を黄信号時に通過する、2)一時停止標識のある交差点での停止時間、3)可変速度標識のある場所での速度調整、4)特定の右左折専用レーンから直進レーンへの車線変更、といったものだ。対象車両には修正版ソフトウェアが OTA 配信される。

捕食者の少ないナミケダニ、その味はキニーネとハバネロを合わせたようなもの

スラド

著者: nagazou

2023年2月2日 07:01

headless 曰く、

ナミケダニを研究する米アリゾナ大学の Justin Schmidt 氏が捕食者の少なさを疑問に思い、自ら味を確認したそうだ (アリゾナ大学のニュース記事、論文)。

目立つ真っ赤な色で豆粒ほどの大きさのナミケダニは動きが遅く、数も多いため容易に捉えることが可能だが、実際にナミケダニを捕食するのはウスバカゲロウの幼虫 (アリジゴク) ぐらいで、トカゲやカエルは近くにいても無視するという。時にはトカゲがナミケダニをなめてはみたものの、そのまま退却する様子も観察されるとのこと。

そこで、Schmidt 氏はナミケダニの味を確認することにし、舌先に乗せて前歯で少し噛んでみたそうだ。しかし、1 ～ 2 秒で苦くスパイシーで嫌な味が口中に広がり、慌てて吐き出すことになる。この味を Schmidt 氏はキニーネとハバネロを合わせたような味だと形容している。

一方、ナミケダニの餌となるのはシロアリの羽アリで、ナミケダニはシロアリの巣を襲って働きアリを殺すことはあるが、羽アリしか食べないとのことだ。

Java SEに脆弱性。IPAとJPCERT/CCは修正パッチの早期適用を呼び掛け

スラド

著者: nagazou

2023年1月20日 14:02

情報処理推進機構（IPA）とJPCERT/CCは18日、「Oracle Java SE」に複数の脆弱性が見つかったとして、修正パッチの早期適用を呼び掛けている。脆弱性の発見された対象となる製品は「Oracle Java SE 19.0.1」「Oracle Java SE 17.0.5」「Oracle Java SE 11.0.17」「Oracle Java SE 8 Update 351-perf」「Oracle Java SE 8 Update 351」。Oracleからは17日にパッチの提供がおこなわれている。JPCERT/CCはユーザーに対し、利用している環境に対象となる製品が含まれていないかも確認するよう促している（IPA、JPCERT/CC、Oracle Critical Patch Update Advisory - January 2023、ITmedia）。

すべて読む | セキュリティセクション | セキュリティ | バグ |

OTAでリコールを実施するSamsungの洗濯機、オフラインアップデート希望者にはドングルで対応

スラド

著者: headless

2023年1月8日 17:27

Samsung が米国で販売した洗濯機で過熱による発煙や発火等の問題が発生し、家電業界初という OTA アップデートによるリコールが行われているのだが、希望者にはオフラインでアップデート可能なドングルを提供しているそうだ (The Verge の記事)。

OTA アップデートを実行するには SmartThings アプリをスマートフォンにインストールして Samsung アカウントにログインし、洗濯機をアプリに追加して Wi-Fi 接続をセットアップする必要がある (動画 [1]、 [2])。洗濯機が Wi-Fi 機能を搭載していない場合や、インターネットに接続せずにアップデートを受け取りたい消費者は Samsung に連絡すればドングルが提供される。洗濯機の裏面にはサービス用のコネクターが用意されており、電源プラグを抜いてからコネクターにドングルを接続し、再び電源プラグを接続すればアップデートが実行されるという (動画 [3])。ソフトウェアバージョンは洗濯機のコントロールパネルで確認できる。

すべて読む | ITセクション | バグ | IT |

英診療所、末期がん患者の対応に関連するスタッフ間の SMS を登録患者全員に誤って送る

スラド

著者: nagazou

2023年1月6日 17:07

headless 曰く、

英国・ドンカスターの診療所 Askern Medical Practice がクリスマス前の 12 月 23 日、末期がん患者に関連した SMS を 8,000 人近い登録患者に誤って送信し、検査結果を待つ患者をひどく驚かせたそうだ (Askern Medical Practice の Facebook 記事、ニュース記事、 The Register の記事、 BBC News の記事)。

SMS の内容は末期患者が迅速に給付を受けられるようにする DS1500 フォームの提出を指示するもので、診断内容は転移もある進行性の肺がんとなっている。その後、誤りに気付いた診療所は取り消しと謝罪の SMS を送信していたが、1 月 2 日になって Facebook で、4 日には公式サイトで改めて謝罪のメッセージを公開した。それによるとコンピューターに関連した問題ではあるものの管理スタッフによるミスが原因で、データ侵害は起きていないという。そもそもメッセージは患者のサポートを担当する管理スタッフ間でのやりとりであり、患者にあてたものではないようだ。

すべて読む | モバイルセクション | モバイル | 英国 | 通信 | バグ | 医療 |

「スマホで年賀状」、表面の差出人欄が広告に差し替えられるトラブル

スラド

著者: nagazou

2023年1月5日 12:00

インターネット年賀状サービス「スマホで年賀状」の2023年の年賀状で間違い印刷をされている事例が発生したそうだ。具体的には、差出人の欄に「スマホで年賀状」のサービスQRコードと、横浜の私書箱の番号が印字されてしまっており、結果として誰から出された年賀状なのか判断できないという。Twitterなどで同様の報告が複数出ているだけでなく、スマホで年賀状側もこのトラブルを認めている（スマホで年賀状リリース、ねとらぼ、Togetter）。

同社の発表によれば、この問題は2022年10月3日から2023年1月1日13時19分までに、注文方法を「直接相手に届ける（直接投函）」を用いて、注文した一部ユーザーの間で発生したという。原因は送った年賀状データを保管できる「じぶん宛年賀状」の設定が間違って反映されたシステム不具合にあるとしている。同社は対応として、問題の注文を特定後に被害に遭った注文者に報告メールを送付、該当者に対して全額返金、年賀状の再作成を行い、詫び状を同梱もしくは別送にて、配送先に送付するとしている。

すべて読む | ITセクション | 通信 | バグ | 広告 | idle |

AIによるコード自動生成を使うプログラマーは、安全性の低いコードを書きやすいという研究結果

スラド

著者: nagazou

2022年12月29日 17:07

スタンフォード大学の研究によれば、GitHub Copilotや「Facebook InCoder」などのAIプログラミング機能に依存しているプログラマーは、AIを使わないプログラマーよりも不正確でバグの多いコードを生成しやすいという結果になったそうだ（論文、GIGAZINE）。

検証は五つの課題をクリアする形でおこなわれた。与えられた共通鍵を使用して、与えられた文字列の1つは暗号化し、もう1つは復号化する2つの関数をPythonで記述するという最初の課題では、AIのサポートを受けなかったグループの79%が正しいコードを生成した一方で、AIのサポートを受けたグループは67%しか正しいコードを生成できなかったとしている。ほかの2つ目から4つ目の課題でもAIプログラミング機能を使うと脆弱性のあるコードを生成しやすいという結果となったとのこと。

m68k用Linuxに実装されたstrcmp()のコードにバグ。12年間気がつかず

スラド

著者: nagazou

2022年12月28日 15:01

Linuxに実装されているMotorola MC68000（m68k）アーキテクチャ向けに最適化された文字列比較に使用される「strcmp」関数の手書きのアセンブリコードが、2010年10月の実装時から2022年12月まで12年間の間、正常に動作していなかったことが判明した。Linus Torvalds氏はこの件に関して「常に壊れていた」と発言している（Phoronix、Linus Torvalds氏による説明）。

この問題についての詳細をツイートしているFadis氏の説明を引用すると、

Linuxのm68kサポートには2010年にアセンブリで書かれた高速なstrcmpの実装が追加された。しかしこの実装は2つの文字を8bit整数のまま減算して結果が0でなければそれを返り値とするという実装だった為、非ASCII文字を含む場合に正しくない結果を返す不具合があった

とのこと。

Tesla車の急ブレーキによる8台玉突き事故、ドライバーは完全自動運転ソフトウェアの誤動作だと証言

スラド

著者: headless

2022年12月24日 17:18

米カリフォルニア州で 11 月 24 日に発生した 8 台玉突き事故について、先頭の Tesla 車ドライバーは完全自動運転ソフトウェアの誤動作だと証言しているそうだ (CNN Business の記事、 Reuters の記事、 The Verge の記事、 Ars Technica の記事)。

事故は感謝祭のランチタイムにベイブリッジ (州間高速道路 80 号線) で発生。Tesla Model S が複数車線を越えて左車線に割り込んだ直後に時速 55 マイル (約 89 km/h) から時速 20 マイル (約 32 km/h )まで急減速し、8 台の玉突き事故となった。この事故では子供 2 人が軽傷を負って病院に運ばれたほか、長時間の渋滞を引き起こしている。

カリフォルニアハイウェイパトロールは Tesla が Full Self-Driving (FSD、完全自動運転) と呼ぶ自動運転レベル 2 の先進運転支援・部分自動運転機能がオンになっていたかどうか確認できないと述べていたが、情報公開請求によりドライバーが FSD の使用を証言する調書が 21 日に公開されたとのことだ。

すべて読む | ITセクション | バグ | IT | ロボット | 交通 |

ユーザーが過去に入力した内容を勝手に入力する Corsair のゲーミングキーボード

スラド

著者: nagazou

2022年12月21日 08:02

headless 曰く、

Corsair のゲーミングキーボード K100 が過去に入力した内容を勝手に入力するという問題が報告されており、多くのユーザーがキーロガーを疑う一方、Corsair はマクロ機能のバグを疑っているという (Ars Technica の記事)。

この問題が Corsair のサポートフォーラムで最初に報告されたのは 8 月 25 日。報告者は K100 を KVM スイッチでゲーミング PC と MacBook Pro に切り替えて使用しており、2 日に 1 回は MacBook 側でキーボードが勝手に入力を始めるという。入力内容はゲーミング PC 側で入力したメッセージであることが多く、ケーブルを抜いてつなぎなおすまで続くとのこと。

その後 2 か月間他のユーザーからの報告はなく、単発の問題のようにみられたが、10 月下旬から複数のユーザーから同様の問題が報告されており、Linus Tech Tips でも同時期に報告が出始めていた。その後リリースされた更新版のファームウェアで修正されたとの報告もみられる。

これについて Corsair は Ars Technica に対し、複数の苦情が届いていることを認めたうえで、同社のキーボードがユーザーの入力を記録することはなく、個別のキーストロークを記録する機能も搭載していないと述べたという。同社は問題の調査を進めているが、マクロ記録機能に関連したバグの可能性が高いとみているようだ。

セキュリティソフトウェアに任意ファイルを削除させることが可能な脆弱性

スラド

著者: nagazou

2022年12月14日 17:04

headless 曰く、

マルウェア検出・削除の仕組みを悪用して非特権ユーザーが任意ファイルを削除可能な脆弱性が複数のセキュリティソフトウェアで見つかり、報告を受けた各社が修正を行ったそうだ (SafeBreachのブログ記事、 Neowin の記事、 Dark Reading の記事、 Black Hat Europe 2022 の告知記事)。

この脆弱性は検出したマルウェアがロックされていて削除されない場合、Windows の再起動後に削除を実行する処理に存在する。攻撃者は一時ディレクトリ内に削除するターゲットファイルと同じ名前のマルウェアファイルを作成し、そのままハンドルを閉じずに待機する。セキュリティソフトウェアがマルウェアを検出し、再起動後の削除を予約したら一時ディレクトリを削除し、同じパスでターゲットファイルが格納されているディレクトリを示すようにディレクトリジャンクションを作成する。あとは Windows が再起動されるとターゲットファイルが削除されるという仕組みだ。

発見した SafeBreach は 11 本のセキュリティソフトウェアをテストし、Microsoft Defender・Microsoft Defender for Endpoint・SentinelOne EDR・TrendMicro Apex One・Avast Antivirus・AVG Antivirus の 6 本が影響を受けることを確認。Palo Alto XDR・Cylance・CrowdStrike・McAfee・BitDifender の 5 本は影響を受けなかったという。なお、Microsoft 製品の場合、ターゲットファイルだけでなくファイルが格納されているディレクトリごと削除されるとのこと。

この脆弱性を利用して SafeBreach が作成したワイパーツールは日本の合気道にちなんで「Aikido Wiper Tool」と呼ばれている。ファイル削除はセキュリティソフトウェアが実行するため検知されることはなく、非特権ユーザーとして実行してシステムを起動不可能にしたり、特権ユーザーにアクセスが制限されている重要なデータを消去したりといったことが可能だ。セキュリティソフトウェアが検疫したファイルを格納するフォルダーを削除することも可能だという。

報告を受けた Microsoft は CVE-2022-37971、TrendMicro は CVE-2022-45797、Avast と AVG は CVE-2022-4173 を割り当て、それぞれ脆弱性を修正している。SentinelOne からは連絡が来ていないとのことだ。

米ワシントン州、2019 年以来初めてオオスズメバチが確認されない 1 年に

スラド

著者: headless

2022年12月11日 17:46

米ワシントン州農務省 (WSDA) は 7 日、今年は 2019 年以来初めてオオスズメバチが確認されなかったことを発表した (ニュースリリース、 The Verge の記事)。

米国でオオスズメバチは侵略的外来種であり、ミツバチの巣を襲って短時間で全滅させることもあるため農家や養蜂家が警戒している。ワシントン州では 2019 年 12 月にオオスズメバチの死骸が見つかったことを受けて州内全域にわなのネットワークを張り巡らせるなど監視を強めている。カナダ国境に近い州内のブレイン市では 2020 年に米国で初めてオオスズメバチの巣が見つかっており、2021 年にはさらに 3 つの巣を発見・駆除している。今年はそれ以来初めてオオスズメバチが 1 匹も捕獲されず、確認された目撃情報もない 1 年となったが、米国のガイドラインでは外来種の確認されない年が 3 年続くまで根絶とみなされないため、まだまだ先は長い。

ワシントン州ではオオスズメバチに限らず侵略的外来種の昆虫を根絶するため、わなのネットワークが活用されている。ヤキマ郡では今年、俗に Japanese beetle と呼ばれる日本在来のマメコガネ (Popillia japonica) を 23,000 匹捕獲。捕獲数は 2021 年から増加しているが、検出数はわずかに減少しているという。また、マイマイガ (Lymantria dispar) の捕獲数も昨年の 6 匹から今年は 30 匹まで増加したそうだ。一方、WSDA が対策プログラムの対象にしている外来種の中でも、シタベニハゴロモ (Lycorma delicatula) のように州内で見つかっていないものがあるとのことだ。

すべて読む | ITセクション | バグ | サイエンス |

車体識別番号さえわかれば自動車のリモート操作が可能になる脆弱性

スラド

著者: nagazou

2022年12月8日 18:04

headless 曰く、

Sirius XM の自動車リモート管理システムで、車体識別番号 (VIN) だけわかればさまざまなリモート操作が可能になる脆弱性が発見されていたそうだ (HackRead の記事、 Sam Curry 氏のツイート)。

発見者の Sam Curry 氏は異なるメーカーの自動車に影響する複数の脆弱性を調査しているうち、いずれも Sirius XM が供給するシステムであることを確認。Sirius XM のリモート管理システムは数多くの自動車メーカーが採用しているが、影響が確認されたのはホンダ (アキュラ含む) と日産 (インフィニティ含む) の製品のみ。これらの車両では HTTP リクエストの「customerId」パラメーターで実際の顧客 ID の代わりに VIN を使用できること、これにより顧客の名前や電話番号、住所などの取得やリモート操作コマンドの実行が可能であることが判明したという。

ドアのロック解除やエンジンの始動が可能なキーレスシステムの脆弱性は複数の車種でたびたび発見されているが、今回の脆弱性では加えて現在地の確認やクラクションを鳴らす、ライトを点滅させるといった操作も可能だったそうだ。Curry 氏は Sirius XM へ事前に問題を報告しており、既に修正されているとのことだ。

セキュアブートを無効化可能な脆弱性、Acer の個人向けノート PC でも見つかる

スラド

著者: nagazou

2022年12月3日 08:03

headless 曰く、

Acer は 11 月 24 日、個人向けノート PC 5 機種でセキュアブート設定を変更可能な脆弱性 CVE-2022-4020 が発見されたことを発表した (Acer Community の記事、 ESET のツイート、 HackRead の記事)。

この脆弱性は NVRAM 変数を作成することでセキュアブート設定を変更可能というものだ。変数の値は重要でなく、影響を受けるファームウェアのドライバーは変数の存在のみをチェックするのだという。影響を受けるのは Aspire A315-22 と A115-21、A315-22G、および Extensa EX215-21 と EX215-21G の計 5 機種。Acer では BIOS 更新プログラムの開発を進めており、準備ができ次第 Acer サポートサイトで公開する。

発見者の ESET によれば、脆弱性は DXE ドライバー HQSwSmiDxe に存在し、NVRAM 変数「BootOrderSecureBootDisable」を追加することで、ドライバーがセキュアブートを無効化するとのこと。ESET は Lenovo のノート PC でも同様の脆弱性を発見しているが、「BootOrderSecureBootDisable」は Lenovo の CVE-2022-3431 でセキュアブートを無効化する変数と同じ名前だ。

赤信号はLED、青信号は電球という歩行者用信号機

スラド

著者: nagazou

2022年11月25日 16:02

鳥取県米子市内には変わった信号機が複数あるようだ。一つは「黄色・黄色・赤色」という色構成の信号機、もう一つは赤信号はLEDで、青信号は電球というもの。黄色・黄色・赤色の珍しい信号機は、鳥取県米子市西町の交差点にあり、通常だと青・黄・赤のはずが黄・黄・赤に。鳥取県警交通企画課によると、この信号機が設置されたのは1974年。設置当初は通常の信号機だったが、1998年に現行の黄・黄・赤のものに変更したという。ただなぜこんな変わった信号機に変更したのか記録は残っていないという（TBS NEWS DIG）。

もう一つの赤信号はLEDで、青信号は電球の信号機はこの交差点のすぐ近くに設置されており、道路愛好家の方によると輪をかけて珍しい信号機で、国内ではおそらく2~3機ほどしかないという。何らかのトラブルで青のLEDの信号機が壊れ、青の灯器だけ中身を交換することで、一時的にしのいでいるのではないかと話している。

すべて読む | ITセクション | バグ | 交通 |

Rakuten Hand 5Gユーザーの間で再起動多発トラブル

スラド

著者: nagazou

2022年11月21日 13:31

楽天モバイルが提供している端末「Rakuten Hand 5G」ユーザーの間で再起動を繰り返すトラブルが発生しているようだ。16日におこなわれた楽天モバイルの発表によると、この問題は「Google Play開発者サービス」の特定のバージョンをインストールしている場合に発生するという。リリースでは復旧方法に関して二つの方法があるとしている。一つはGoogle Play開発者サービスのアップデートのアンインストール、二つ目はファクトリーデータリセットで、一つ目の方法で復旧できない場合、2を試すようにとしている。当然のことながらファクトリーデータリセットを実施すると、製品内のデータはすべて初期化されるので注意が必要だ（楽天モバイル、iPhone Mania）。

あるAnonymous Coward 曰く、

Rakuten Hand 5Gが死んだと思ったら、Google Play 開発者サービスの自動更新がやらかした模様。
いい加減、ロールバック機能つけてくれ。

リーディングビュー