NETGEAR製品に幅広く影響するゼロデイ脆弱性が見つかる。ZDIが一斉公開

2020年7月3日 19:26

80個近いネットギア製のネットワーク製品に脆弱性があること報じられている。脆弱性を悪用された場合、攻撃者に管理者権限で任意のコードを実行される可能性があるとされる（マイナビ）。

あるAnonymous Coward 曰く、

トレンドマイクロが運営するZero Day Initiative (ZDI)は6月15日、NETGEAR製品に幅広く影響する計10件の脆弱性を公開した（JVNの発表）。この脆弱性はTeam FlashbackのPedro Ribeiro氏とRadek Domanski氏、およびVNPT ISCを通じてd4rkn3ss氏によって報告された。10件中8件はリモートからの任意コード実行が可能となるもので、Web管理画面のCGIプログラムに対するバッファオーバーフロー攻撃などで発生する。JVNによると以下の諸問題のため、影響が深刻化するおそれがあるという。
当該製品では httpd が root 権限で動作している
Netgear 製品では、バッファオーバーフロー対策に用いられる Stack cookie (カナリア値) が使用されていないものが多い
本脆弱性の攻撃には認証を必要としない
CSRF 対策のトークンがチェックされる前の段階で本脆弱性の攻撃が可能
機器の情報が /currentsetting.htm ページを閲覧するだけで取得できるため、攻撃者にとって攻撃対象の選定が容易
すでにZDIによってZDI-20-709の解説と実証コードが公開されているほか、サイバーセキュリティ組織のGRIMMも独自にZDI-20-712に相当する脆弱性を発見・報告しており、その解説と実証コードが公開されている。 ZDIでは2019年11月から2020年2月にかけてNETGEARに脆弱性を報告して公表に向けた調整を進めていたが、報告から120日が経過したため、修正プログラムの提供を待たず公表に踏み切ったという。NETGEARは6月18日にセキュリティアドバイザリを公開、一部製品については修正プログラムの提供を開始し、残る製品についてはリモート管理機能をオフにする回避策を推奨している。最大で80種類近くの製品が影響を受ける可能性があり、米CERT/CCが脆弱性の影響を受ける製品一覧とそれらの対応状況をGoogle スプレッドシートで公開している。

情報元へのリンク

JPモルガン、社内資料やプログラム上からマスター・スレーブなどの単語を排除へ

スラド

著者: nagazou

2020年7月3日 18:40

taraiok 曰く、

Reutersによると米銀最大手JPモルガンは、社内の技術資料やプログラムコードに至るまで「ブラックリスト」「マスター」「スレーブ」といった用語を削除していることが分かった。人種差別問題に対処することが目的だという。TwitterやGitHubでも同様の対処が進んでいるとされる。

マスターおよびスレーブといった単語はプログラミング言語やコンピューター用語として日常的に使われている。ブラックリストも企業のサイバーセキュリティ部門部門などで、拒否リストの意味で一般的に利用されている。5月に起きたジョージ・フロイドの死は、こうした人種的な含みがある言葉について全面的に見直すきっかけとなった。

しかし、トラブルを指摘する人もいる。銀行業務を支える技術は、合併した企業、数十年前のコード、サードパーティのシステムに依存するスパゲッティ・コードであり、こうした言葉の変更が予期しないトラブルを生む可能性があるとコロンビアビジネススクールのMattan Griffel氏は指摘している（Reuters、slashdot）。

トイレで動画広告を配信する実験。混雑状況や滞在時間も表示

スラド

著者: nagazou

2020年7月3日 18:11

あるAnonymous Coward 曰く、

ついにトイレの中にまで広告が。

バカンと東京建物がトイレの個室内に広告を配信するサービスの実証実験を開始するという。広告配信はバカンが展開している「AirKnock Ads」というシステムが使われる。トイレ個室の壁面に10インチタブレットが設置され、個室の利用が始まると約30秒の動画広告がいくつか再生されるそうだ。

トイレが混んでいるときは、動画の再生本数を制限し、外の混雑状況や個室滞在時間を表示するようになっているという。これにより、長時間滞在している人にプレッシャーを与えて自主的な退出を促すという感じらしい。

この実証実験は東京建物が運営する「中野セントラルパークサウス」で行われるとしている（プレスリリース[PDF]、Impress Watch）。

すべて読む | ITセクション | 通信 | 広告 | IT |

内閣情報調査室、インターネットでの情報収集を認める

スラド

著者: nagazou

2020年7月3日 17:48

さまざまな情報開示請求(情報公開請求)を行っている「WADA/開示請求」氏が、内閣情報調査室に行政文書の情報開示を求めたところ、6月29日にその回答として情報の不開示という返答があったそうだ（note）。

その回答文書となる「行政文書不開示決定通知書」に記載された質問内容を原文ママで引用すると、
「内閣情報調査室について、公務として、インターネットの情報を収集しその内容を把握する行為について、①当該公務に関する一切の記録、③当該行為が公務でないならば、職務専念義務違反と関連が分かる一切の文書。）」を要求していた模様。

不開示とした理由としては、①と③については文書が存在していないとのこと。
原文引用となるが「②については、上記対象文書を公にすることによって、当室の情報の収集・分析の頻度や、手段・形態、その分量等が明らかになり、それによって当室が行っている業務の実態やその能力等が推察され、相手方をして対抗・妨害措置を講じられるなど、当室が行う業務の適正な遂行に重大な支障を及ぼすおそれがあり、ひいては（後略）」とのこと。

WADA/開示請求氏によれば、②の不開示理由から、内閣情報調査室は、該当する文書の存在を認めており、よって内閣情報調査室がインターネットでの情報収集を認めているという結論が導き出されるようだ。

すべて読む | ITセクション | 通信 | インターネット | IT | 政府 |

Microsoft、コロナ失業者支援としてデジタル技能学習コンテンツを無償提供へ

スラド

著者: nagazou

2020年7月3日 17:12

あるAnonymous Coward 曰く、

Microsoftが、新型コロナによる失業者のフォローも兼ねて、デジタルトレーニングや能力認定プログラムを安価に提供していくそうだ。無料のデジタルトレーニングや安価な能力認定プログラムを提供することにより、需要のある職に就くのに必要なスキルの育成を支援するとのこと。手始めに「LinkedIn Learning」「Microsoft Learn」「GitHub Learning Lab」で学習コンテンツを無料提供する模様。

米国ではこの2か月で4200万人以上が失業しているとされる。Microsoftでプレジデントを務めるBrad Smith氏は「経済の回復を安全かつ確実に進めるために欠かせない重要なステップの1つは、新しい仕事に就くために必要なデジタルスキルを学ぶ機会を拡大することだ」と話しているそうだ（ZDNet、CNET）。

アメリカン航空、全座席の割り当てを再開

スラド

著者: nagazou

2020年7月3日 16:41

headless 曰く、

アメリカン航空が7月1日から全座席の割り当てを再開するそうだ(ニュースリリース、 The Vergeの記事、 ABC Newsの記事、 Chicago Sun-Timesの記事)。

アメリカン航空は3月24日、COVID-19対策の一つとして3人掛けの真ん中の席および乗務員用のジャンプシートから近い座席について、5月31日まで50%を割り当てないと発表。5月31日以降も満席にならないようにする対策を続けていた。7月1日以降は満席になることもあるが、より空いているフライトが選択できる場合に通知し、通貨料金なしで変更できるようにするサービスは継続するとのこと。

米航空会社ではLCCのフロンティア航空が隣の空席を保証する有料オプションを発表後、批判を受けて撤回しているが、それとは別に座席を1列おきに使用することで満席にならないような対策を行っている。そのほかの米航空会社もほとんどが満席にならないよう予約制限を行っているが、ユナイテッド航空だけは制限を発表しただけで実施はせず、満席を通知して無料で予約変更可能にするサービスのみを実施しているそうだ。

日本の航空会社ではスカイマークやJALが一部の座席を予約不可とする対策を実施していたが、スカイマークは5月末まで、JALは6月末までに対策を終了している。

すべて読む | YROセクション | 検閲 | YRO | 医療 | アメリカ合衆国 | 交通 |

Googleがスマートグラスメーカー「North」を買収

スラド

著者: nagazou

2020年7月3日 16:06

あるAnonymous Coward 曰く、

Alphabet／Googleがスマートグラス企業「North」を買収した。買収価格は非公開とされているが、事前の報道では1億8,000万ドル（約193億7,600万円）になるとみられていた（Engadget、iPhone Mania）。

NorthのFocalシリーズは、液晶ディスプレイで覆われたARグラスとは異なる製品。右側のつるの部分にホログラフィックプロジェクタが埋め込まれ、レンズ上に映像を照射する。自動車のヘッドアップディスプレイに近いイメージの製品となっている。

なお今回の買収により、Northが販売していたFocal 1.0は段階的に終息扱いに、今年発売を予定していたFocal 2.0は発売中止になるそうだ。

ローソンとファミリーマート、商品陳列にロボットを導入へ

スラド

著者: nagazou

2020年7月3日 15:55

コンビニでロボットの導入が進んでいるようだ。ロボットの導入を検討しているのはファミリーマートとローソンで、両社ともにロボティクス企業のTelexistenceと提携する（Impress Watch、マイナビ、CNET、Impress Watchその2）。

ファミリーマートは今夏から都内店舗で、商品陳列業務などを行なうTelexistence製のロボットとAugmented Workforce Platform(AWP：拡張労働基盤)を導入。2022年までに20店舗ほどにロボットを投入する計画だという。なお、AWPを支えるクラウドシステムにはMicrosoftのAzureが使われているそうだ。

ローソンは9月にロボットを使用した次世代型コンビニをオープンする。第一号店となるのは、国の特定事業としての認定を受けた「ローソン Model T 東京ポートシティ竹芝店」。同店ではロボットにより、おにぎり・弁当・パスタなどの食事系商品、チルド飲料、日配食品などの要冷蔵商品、飲料、酒類が品出しされるとのこと。

独自設計CPU搭載のMac miniのベンチマークスコアが流出

スラド

著者: nagazou

2020年7月3日 15:31

あるAnonymous Coward 曰く、

新型MacにはこれまでのIntel系ではなく、独自開発のARM系プロセッサが搭載されることはすで発表済み（過去記事）。現在、開発者向けに第3世代iPad Proとほぼ同じA12Zプロセッサを搭載したMac miniが有償で貸し出し中だそうだ。

開発機のスペックはITmediaの記事によれば、Apple A12Z Bionic、メモリ16GB、512GB SSD、USB-C x2（USB3.2 Gen2）、USB-A x2、HDMI 2.0、802.11ac Wi-Fi、Bluetooth 5.0、Gigabit Ethernet。

この開発用Mac miniを使ったベンチマークテストが各所で流出している模様。性能比較にはGeekbench 5 for Mac (Intel) で計測したCPUベンチマーク結果が使われている。開発者用のPCに入っているRosetta 2のベータ版を使って仮想的にGeekbenchを走らせているという。

結果としてはシングルコアでのスコアは平均で800~850ほど、マルチコアでのスコアは3000弱が並んでいる。iPad Pro 11-inchのiPadOSネイティブ版であるGeekbench 5 for iOSと性能を比較するとCPUのシングルスコアで25％、マルチスコアで37％ほど低い成績となっているそうだ。開発版に付属するRosetta 2は初期ベータ段階であることから本来の実力はまだ出し切れていない模様。一方でネイティブGPUに関しては、Pad Pro 11-inchに近いベンチマーク結果に近い性能が出ている（ITmedia、GIGAZINE）。

Firefox 78.0.1とThunderbird 68.10.0がリリース、ESRも78系へ

スラド

著者: nagazou

2020年7月3日 14:24

デスクトップ向け「Firefox」の最新版である「Firefox 78.0.1」が7月1日にリリースされた。企業向けに提供されているFirefox 延長サポート版 (ESR) も同時にアップデートが行われている。ESR版についてはFirefoxでの過去のアップデートを反映した内容になっている（Mozilla、窓の杜、マイナビ）。

Firefox 78は、プライバシー保護の強化やその状況を確認するため、「プライバシー保護ダッシュボード」（about:protections）が強化されたという。このほかアンインストーラーに「Firefoxをリフレッシュ」ボタンが追加されている。拡張機能やカスタマイズデータ、ブラウザ設定のリフレッシュができる。これまで、リフレッシュですむ問題であるのに気がつかず、Firefox自体を再インストールしてしまう事例が多いために付けた機能だそうだ。

なお6月30日に配布されたFirefox 78で、検索エンジンが表示されない問題を修正したFirefox 78.0.1が7月1日にリリースされている（窓の杜その2）。

メールソフトのThunderbirdについても、7月1日に安定最新版となるv68.10.0がリリースされている。チャット機能で一部の文字が正しく表示されなどの不具合修正が中心となっている。78.0に関しては7月6日の週にリリースされる予定だが、その前に一度ベータ版が提供されるとのこと（Mozillaその2、窓の杜その3、Googleグループ）。

すべて読む | ITセクション | Mozilla | IT |

Origami Payが全サービス終了。有終の美はとらのあな新宿店で

スラド

著者: nagazou

2020年7月3日 14:06

あるAnonymous Coward 曰く、

2016年5月にサービスを開始したQRコード決済のOrigami Pay。そのOrigami Payが6月30日22時に全サービスを終了した。運営会社のOrigamiは2020年1月にメルカリが子会社化。Origami Payはメルペイにサービスを吸収している。

Origamiの元シニアディレクターで、現在はメルペイで執行役員をつとめる伏見慎剛氏によって、自身による最後の決済の様子がツイートしている。それによれば、最後の決済は22時ギリギリまで使える「とらのあな新宿店」での支払いに用いたとのこと。伏見氏は人生初の同人誌を購入した模様。なんの同人誌かは不明（Engadget）。

IEEE主催のサーモ画像コンペで渋谷の企業が世界2位に

スラド

著者: nagazou

2020年7月3日 13:23

国際技術標準化機関であるIEEEが、サーモグラフィーコンペなるものを開催していたそうだ。正式名称は「Thermal Image Super-Resolution Challenge」といい、コンペの内容は、解像度の低いサーモグラフィー画像から、機械学習で高解像度の画像を生成する方法を競い合うというもの（TechCrunch）。

コンペの結果は6月14日に発表されたそうだが、渋谷に拠点を置くAI系企業クーガーのSabari Nathan氏とPriya Kansal氏によるモデルが2位に入賞したとのこと。同社は人型AIの開発をしており、視覚を担う画像情報の分析・解析のための研究開発をしていたそうだ。

IEEEは画期的で新規性のある画像解析の機械学習ソリューションを求めていたとされる。サーモグラフィー画像は、可視光を扱う写真と違い熱だけを扱うため、照明その他の環境条件の影響を受けない。このため、医療や軍事、自律走行車の物体検出などの分野に応用しやすいとしている。

関連ストーリー：
99.5％以上の光を吸い込む「暗黒」素材 2019年05月21日
インド初、象の病院がオープン 2018年11月29日
サーモグラフィーで暗証番号を盗む手法に関する一考察 2011年08月22日
新しい材料には新しい検査が必要 2007年11月24日

ゲーム開発者、多くは緊急事態宣言解除後も在宅勤務を継続

スラド

著者: nagazou

2020年7月3日 12:06

先日、事務職向けのアンケート調査が出ていたが、ゲーム開発者の間では在宅勤務が一般化しつつあるようだ。

コンピュータエンターテインメント協会(CESA)が実施した「ゲーム開発者の在宅勤務に関するアンケート調査2020」によると、回答した人の94.6％が在宅勤務を経験しているという。ちなみに新型コロナの流行前から在宅勤務を経験していたという人は32.0％だった。

そのうちの96.3％が現在も在宅勤務を継続。理由としては勤務先や上司のの指示などがほとんどで、自己判断で在宅勤務をしている人はわずか3.8％にすぎない。なお76.9％の開発者が在宅勤務に満足しているという。ただし、困った点としては機器やネットワークの手配に課題があると感じた人が31.4％、勤怠管理と人事評価に問題がありそうだと感じた人が26.9％いた。

在宅勤務によって生産性が上がったかどうかについては微妙。すごく上がったと上がったの回答を合わせても38.3％だった。すごく下がったと下がったを合わせると33.5％だった。理由としては、オンライン会議などのコミュニケーションが難しいと感じたとしている（Social Game Info、ゲーム開発者の在宅勤務に関するアンケート調査2020）。

関東で目撃された火球、明るさなどから直径50センチほどの大きさと推測

スラド

著者: nagazou

2020年7月3日 10:10

朝日新聞によると2日未明、関東で目撃の相次いだ火球は、直径50cmほどの隕石だった可能性があるという。

日本大の阿部新助准教授（宇宙科学）が映像から明るさを分析した。それによると、映像での明るさと、地球に接近する1メートル以上の天体を監視しているハワイなどの観測網に引っかかっていない点から、50cm前後だったのではないかと推定できるとしている（朝日新聞）。

またSNSで窓が揺れた、雷のような音がしたといった証言があったことから、この隕石は上空で破裂し、その結果衝撃波が発生したのではないかとしている。場合によっては家の屋根などに落ちていることもあるかもしれないという。

ふるさと納税、泉佐野市の逆転勝訴が確定

スラド

著者: nagazou

2020年7月3日 08:43

大阪府泉佐野市をふるさと納税の新制度の対象外としたことは違法だとして、泉佐野市が国を提訴していた訴訟の上告審判決で30日、最高裁判所は大阪高裁判決を破棄し、国の決定を違法として取り消した。これにより泉佐野市の逆転勝訴が確定した（共同通信、NHK、日経新聞）。

裁判官5人全員一致の結論だという。最高裁で争点になったのは、国が法律改正前の問題を理由として、法律の改正後に制度から除外したのは妥当なのかという点。宮崎裕子裁判長は「（前略）告示のうち、過去の募集状況を問題とした部分は違法で無効だ」と指摘している。

これを受けて菅官房長官は、1日午前の記者会見で、制度の見直しなど具体的な対応を総務省で検討していく考えを示した（NHKその2）。

すべて読む | 日本 | 法廷 | 政府 |

逮捕歴ツイートの削除認められず。東京高裁で原告男性が逆転敗訴

スラド

著者: nagazou

2020年7月3日 07:03

Twitter上で10年近く前の逮捕歴が実名で書かれた投稿が表示され続けるのは、プライバシーの侵害だとして、男性がTwitterに対して、ツイートの削除を求めた訴訟の控訴審判決が29日に行われた。東京高裁は1審の東京地裁判決を取り消し、原告の請求を棄却した（朝日新聞、共同、毎日新聞）。

野山宏裁判長は投稿について、ツイッターは世界で6番目にアクセスが多いサイトだが、投稿の削除を請求できるのは「誰でも閲覧できる状態を続ける必要性などと比べ、公表されない法的利益が明らかに優越する時に限られる」と述べた。Google検索などの一般検索サイトでは既に逮捕歴が表示されておらず、男性が不利益を受ける可能性は低いとして、「削除する利益が明らかに優越するとはいえない」と結論づけたとしている。

JAXAが補給船と宇宙ステーションのドッキングをWebゲーム化。「HTV GO!」のベータ版を無料公開

スラド

著者: nagazou

2020年7月3日 06:34

JAXAが補給船「HTV（こうのとり）」を国際宇宙ステーション（ISS）に届けるドッキングミッションをブラウザゲーム化したそうだ。その名も「HTV GO!（β版）」（JAXAリリース、HTV GO!（β版）PC版、HTV GO!（β版）スマートフォン・タブレット版、窓の杜）。

HTVを操作してキャプチャポイントまで移動させる「ランデブー編」、ISS側からアームを操作してHTVの側面にあるターゲット（FRGF）へ近づける「アーム接近編」、ISSとHTVとの最終的なドッキングを行う「最終キャプチャ編」の3パートから構成されている。

クリアすると消費燃料やバッテリーの残量、作業時間からスコアが表示される。対応ブラウザはGoogle Chrome、Microsoft Edge、Safariとなっている。

リーディングビュー