既知の脆弱性を含むコード、時間がなければ仕方なくデプロイする？

2023年4月29日 19:21

Checkmarx の年次アプリケーションセキュリティ報告書「Global Pulse on Application Security」によると、86% の組織が既知の脆弱性を含むコードをデプロイしたことがあるそうだ (Checkmarx のブログ記事、 BetaNews の記事)。

報告書では調査会社 Censuswide を通じて全世界 1,500 人以上の CISO や AppSec 管理者、開発者から収集したデータと、クラウドベースのアプリケーションセキュリティプラットフォーム Checkmarx One のデータをまとめたものだ。既知の脆弱性を含むコードを本番環境にデプロイする頻度に関する設問では、23% が頻繁 (Often) と回答し、45% が時々 (Sometimes)、18% がまれに (Rarely) と回答しており、合計で 86% が脆弱性を含むコードをデプロイしていることになる。なお、わからない(Not sure)という回答も 1% あり、既知の脆弱性を含むコードをデプロイしたことがない (Never) という回答は 13% となる。

既知の脆弱性を含むコードを使用する理由として AppSec 管理者とソフトウェア開発者の 40% 近くが「ビジネスや機能、セキュリティに関連した締め切りに合わせるため」といった時間不足を挙げているという。また、CISO の 3 分の 1 近くは開発者が常時ポリシーに従っているとは限らないと認識しているそうだ。

88% の組織は自ら開発したアプリケーションの脆弱性によるセキュリティ侵害を過去 12 か月間に受けており、AppSec 管理者の 41% がオープンソースソフトウェアのサプライチェーン攻撃、開発者の 40% はクラウドリソースやコード化されたインフラストラクチャ(IaC)、コンテナの誤設定をセキュリティ侵害の原因に挙げているとのことだ。

スラドの皆さんはコードに脆弱性があると知りながら使わざるを得ない場面があるだろうか。

macOS Ventura 13.4 beta 3、Bitcoin のホワイトペーパーを削除

スラド

著者: headless

2023年4月29日 17:28

macOS には Bitcoin のオリジナルホワイトペーパーの PDF がなぜか収録されているのだが、先日リリースされた macOS Ventura 13.4 beta 3 では削除されているそうだ (9to5Mac の記事)。

Bitcoinホワイトペーパー収録についてAppleからの説明は特になく、発見されたのも数週間前のことだが、2018年のmacOS Mojaveで追加されていたとみられる。PDFファイルはVirtualScanner.appの一部として、Image Captureアプリフォルダー以下にそのほかの雑多なファイルとともに収録されているという。VirtualScanner.appはAppleのエンジニアが実際にスキャナーを接続することなくImage Captureアプリでスキャンやエクスポート操作をシミュレートできるようにするものだ。

ファイルはおそらくジョークで追加されたものだが、特にセンシティブ情報が含まれているわけではなく、一般ユーザーが目にするような場所でもないことからそのまま放置されていたとみられる。そのため、ファイル発見の記事が注目を集めたことを受けて削除された可能性が高いようだ。

なお、最新ベータ版にアップデートしていない macOS 環境では、ターミナルで以下のコマンドを実行すれば PDF を閲覧できるとのことだ。

open /System/Library/Image\ Capture/Devices/VirtualScanner.app/Contents/Resources/simpledoc.pdf

シンガポール政府、詐欺防止に広告ブロッカーを推奨

スラド

著者: headless

2023年4月29日 15:25

シンガポール政府技術庁 (GovTech) がオンラインでの詐欺を防ぐ有効な手段として広告ブロッカーの使用を推奨している (GovTech のニュース記事、 The Register の記事)。

米連邦捜査局 (FBI) では広告ブロッカーをサーチエンジンでの検索結果上部に表示される詐欺広告を防ぐ手段の一つに挙げており、検索時の使用を推奨している。一方、GovTech では詐欺広告をブロックするだけでなくデータ使用量も削減できるとして常時使用を推奨しているようだ。特定の広告ブロッカーを紹介することなく、中には IP アドレスの隠ぺいや通信の暗号化でプライバシーを向上させるものがあることを紹介する一方で、偽広告ブロッカーをインストールしないよう注意喚起もしている。

シンガポールでは 2022 年の詐欺被害総額が前年比 4% 増の 6 億 6,070 万シンガポールドル (SGD)、被害件数が 3% 増の 31,728 件となっている (PDF ダウンロードリンク)。特に被害額が大きいのは投資詐欺 (1 億 9,830 万 SGD) と求人詐欺 (1 億 1,740 万 SGD)、件数が多いのはフィッシング詐欺 (7,097 件) と求人詐欺 (6,492 件) で、求人詐欺のターゲットとなる 20 歳～ 39 歳が詐欺被害者全体の半数を占めるという。一方、1 件当たりの被害額では政府関係者なりすましによる詐欺 (約 126,589 SGD) が投資詐欺 (約 63,803 SGD) の約 2 倍で圧倒的に多い。

シンガポール政府は詐欺電話や SMS をブロックするアプリ ScamShield を提供(Android / iOS) しており、今年は WhatsApp でテキストのコピーやスクリーンショットを送信するとボットが詐欺かどうかを判定する ScamShield Bot の提供も予定しているそうだ。

Spotify の月間アクティブユーザー数、5 億人を超える

スラド

著者: headless

2023年4月29日 13:32

Spotify の月間アクティブユーザー数 (MAU) が 5 億人を超えたそうだ (プレスリリース、 For the Record の記事、 Neowin の記事、 Ghacks の記事)。

この数字は Spotify が 2023 年第 1 四半期決算で明らかにしたもので、MAU は前年比 22% 増の 5 億 1,500 万人、有料のプレミアムサブスクライバー数は前年比 15% 増の 2 億 1,000 万人。有料ユーザー数は 2022 年第 4 四半期の段階で 2 億人を超えていたが、MAU が 5 億人を超えるのは今回が初めてだ。

いずれも 4 年前の 2019 年第 1 四半期から 2 倍以上に増加しており、MAU は 2019 年第 1 四半期から 2022 年第 1 四半期まで年 7,000 万人前後のペースで増加してきたが、2022 年第 1 四半期から 2023 年第 1 四半期までの 1 年間では 9,300 万人増と増加幅が大きくなった。一方、有料ユーザー数は 2020 年第 1 四半期までの 1 年間に 3,000 万人増加したのがピークで、以降は 3,000 万人未満の増加幅となっている。

なお、MAU・有料ユーザーともにすべての地域で増加しているが、有料ユーザー数は特に欧州と南米での増加が大きいという。総売り上げは有料ユーザー数の増加がけん引し、前年比 14% 増の 30 億ユーロに到達したとのことだ。

すべて読む | ITセクション | ビジネス | 統計 | インターネット | IT | 音楽 |

Microsoft Edge、デフォルトでほぼすべてのアクセス先URLをBing APIに送信

スラド

著者: headless

2023年4月29日 11:39

Microsoft Edge ではコンテンツ作成者のフォロー機能を利用できるが、この機能がアクセス先ほぼすべてのフル URL をデフォルトで Bing API に送信しているようだ (The Verge の記事、 Neowin の記事、 On MSFT の記事)。

問題が発生しているのはフォロー可能なコンテンツ作成者を特定するため、ウェブページへのアクセスを bingapis.com に送信する機能だ。Reddit ユーザーが発見したところによれば、以前のバージョンでは特定ドメインまたはページに限って送信されていたが、バージョン 112.0.1722.34 以降ではほぼすべてのページが送信されるようになったという。

The Verge によれば Bing API にはドメインや URL パターン別にデータ収集の有無を指定する数十件のフィルターリストが用意されているが、実際にはアクセス先 URL で未チェックのものがすべて送信されてしまうようだ。The Verge の依頼で調査を行ったソフトウェアエンジニアの Rafael Rivera 氏は意図したとおりに動作していない可能性を指摘している。

Bing API への送信はデフォルトで有効になっているが、Microsoft Edge の設定画面で「プライバシー、検索、サービス」の「Microsoft Edge で作成者をフォローできる修正候補を表示する」をオフにすれば一切送信されなくなる。Microsoft は問題を認識して調査を行っているとのことだが、修正完了までこのオプションをオフにしておくといいだろう。

NTTドコモの4G基地局容量ひっ迫問題、2023年夏までに解消目指す

スラド

著者: nagazou

2023年4月29日 08:04

NTTドコモは、都市部の繁華街などの一部で携帯電話がつながりにくいとの指摘が出ている問題について、今夏までの解消を目指すと発表した。現象としては電波が弱いのではなく、つながっているのにデータ通信ができないような症例が見られるという。この現象は21年春ごろから増加していたとされ、SNS上などでは「5Gパケ止まり」などと呼ばれていた（ケータイ Watch、ITmedia）。

その原因に関してドコモ側は、ユーザーの増加に伴う、通信量の増大、再開発などでのエリア変動、専用の周波数で5Gを提供する「瞬速5G」の設置が道半ばであることから、4Gの収容量がひっ迫することに起因するとする見解を示している。対策として瞬速5Gの基地局のエリアを容量がひっ迫している基地局までカバーする、収容する周波数を分散させるなどをおこなうとしている。2023年夏までに問題の解消を図る考えだとしている。

すべて読む | NTT |

北朝鮮も要人警護用に黒い鞄を導入

スラド

著者: nagazou

2023年4月29日 07:05

あるAnonymous Coward 曰く、

安倍元首相暗殺時や岸田首相テロの際に、警護員が鞄型の黒い盾を展開して要人を護ろうとした映像を覚えているだろうか？それに触発されたのか、朝鮮日報によると、北朝鮮でも警護員が黒い鞄を持つようになった。警護員たちが黒い防弾カバンを持っていたことを、岸田首相テロの翌日の金正恩の国家宇宙開発局現地視察写真から確認できる。この2カ月前の今年2月の、金正恩が平壌郊外の大規模野菜温室農場「江東温室農場」建設着工式に出席した際の写真では、警護員たちは何も持っていなかった。

すべて読む | セキュリティセクション | ビジネス | セキュリティ |

JR四国、予土線等3路線4線区の存廃議論を自治体と開始へ

スラド

著者: nagazou

2023年4月29日 06:14

あるAnonymous Coward 曰く、

朝日新聞の記事によると、JR四国は、予土線、予讃線、牟岐線の3路線4線区について、存廃を含めた議論を自治体と始めることを明らかにしたそうだ。

同社が路線の存廃議論で具体的な線区を挙げたのは初めてだそうで、予土線の全線、予讃線海回り区間の向井原―伊予大洲間、牟岐線の阿南―牟岐間と牟岐―阿波海南間が対象となっているようだ。

対象となっている区間を乗ったことのある方はいるだろうか。

すべて読む | 交通 |

Firefox 112.0.2、アニメーションテーマ使用時のメモリリークを修正

スラド

著者: nagazou

2023年4月29日 05:36

headless 曰く、

Firefox 112 以降でアニメーションテーマ使用時のメモリリークが確認され、Firefox 112.0.2 で修正された (バグ1828587、 Ghacks の記事、 Neowin の記事)。

もともとバグ 1828587 はHTML Video のメモリリークとして報告されたが、アニメーションテーマが原因であることがその後確認された。具体的には最小化または他のウィンドウに隠された Firefox のウィンドウなど、見えない場所での大量のアニメーション描画によりメモリリークが発生するというものだ。そのため、アニメーションテーマ以外でも発生する可能性はあるが、主な要因はアニメーションテーマだという。

関連ストーリー：
「Firefox 15」リリース 2012年08月30日
Firefoxのマルチプロセス化プロジェクト「Content Process」 2009年05月09日

リーディングビュー