Office Open XML、ファイルへの署名が無意味になる脆弱性

2023年6月17日 19:45

Ecma/ISO で標準化されている Office Open XML (OOXML) 署名に仕様上およびアプリケーションでの実装上の問題が見つかり、Microsoft が修正したそうだ (論文アブストラクト、 The Register の記事、論文: PDF)。

仕様上の問題の中心となるのは、部分署名であることだ。これにより、署名済みのファイルに署名のないファイルを追加してドキュメントの代わりに表示させたり、署名済みのバイナリ形式の古い Word ドキュメント (.doc) を未署名の .docx ファイルに追加することでドキュメントが署名されているように見せかけたりすることも可能だという。

OOXML 署名は Microsoft Office と OnlyOffice Desktop が使用しているが、macOS 版 Microsoft Office では署名の確認が全く行われず、後述する実装上の問題を含めてすべての攻撃が成功するとのこと。実装上の問題は署名が確実に検証されないことで、ODF など XML 署名を使用する他のアプリケーションのドキュメントファイルから取り出して任意の署名入り OOXML ドキュメントを作成できる。また、ファイルの修復機能を悪用することで、生成された一時ファイルで署名が有効であるかのように見せかけることができる。

この問題を発見したドイツ・ルール大学ボーフムの研究グループは、事前に Microsoft と OnlyOffice、ISO/IEC JTC 1/SC 34 へ連絡し、調整を行ってから脆弱性を公表している。この過程で Microsoft は問題を認識し、報奨金プログラムの対象にもしたが、即時に対応が必要な問題ではないとして修正を行わない意思を示したそうだ。ただし、The Register が本件の記事を掲載した日の夜、Microsoft はすべてのサポートされる月次チャネル版 Office で問題を修正済みだとThe Register に連絡してきたとのことだ。

米CDC、有害な藻類や藍藻が大発生した水を避けるよう注意喚起

スラド

著者: headless

2023年6月17日 17:39

米疾病予防センター (CDC) が有害な藻類や藍藻が大発生した水を避けるよう注意喚起している (CDC のガイダンス、原因と影響)。

藻類や藍藻は暖かく流れの遅い水が窒素やリンなどの栄養分を豊富に含んでいると大発生しやすい。大発生は淡水・海水・汽水のいずれでも起こるという。そのため、大雨の後など地上から肥料や下水、都市の雨水などが湖や河川、海に流れ込むと大発生の原因となる。気候変動による水温上昇も大発生を起こりやすくしているとのこと。

大発生した藻類や藍藻は毒素を作り、密集して水の流れを悪化させるほか、水中を低酸素状態にし、有毒ガスが発生することもある。汚染された水に入ったり、汚染された水や魚介類・サプリメントなどを摂取したりすれば病気になる可能性もある。

そのため、水が悪臭を放っている場合や、色が変わっている場合、水面で泡やヘドロなどが確認できる場合、水辺で魚やその他の動物が死んでいる場合には近付かないようにすべきとのこと。ペットや家畜なども水に入らないよう注意が必要だ。

欧州委員会、Googleのオンライン広告テクノロジー事業の一部を売却するよう命じる可能性

スラド

著者: headless

2023年6月17日 15:45

欧州委員会は 14 日、オンライン広告テクノロジー事業における不公正なビジネス慣行について、Google への異議告知書送付を発表した (プレスリリース、 The Guardian の記事、 The Verge の記事、 Ars Technica の記事)。

異議告知書はEUのアンチトラスト規則への違反が疑われる行為について、欧州委員会の正式な調査に向けた段階の一つだ。欧州委員会の事前調査によれば、Googleは傘下のオンライン広告テクノロジー企業で (i) パブリッシャー向け広告サーバー DoubleClick For Publishers (DFP) と (ii) 広告出稿サービス Google Ads および DV 360、(iii) 広告枠取引サービス AdX といったサービスを運営しており、(iii) に対し (i) と (ii) が有利な扱いをしている可能性があるという。

欧州委員会の正式な調査で違反行為が確認された場合、違反行為の禁止および、Google の全世界での年間売上の最大 10% の制裁金が命じられる可能性がある。違反行為を止める方法としては行動の改善と構造の改善があるが、異議告知書では一部事業の売却による構造の改善が必要になるとの見解を示したそうだ。一方、Google はオンライン広告が非常に激しい競争の行われる分野だと述べ、反競争行為を否定しているとのことだ。

すべて読む | ITセクション | ビジネス | Google | EU | 広告 | IT |

Atari、カートリッジ式ゲームの新作を発表

スラド

著者: headless

2023年6月17日 13:38

Atari が限定版として Atari 2600 用のカートリッジ式ゲーム「Mr. Run and Jump」を発売する (製品情報、 Ars Technica の記事、 IGN の記事)。

「Mr. Run and Jump」は 40 年以上前に作られた Atari 2600 用ゲームのリメイクで、メジャーなゲームプラットフォームではグラフィックを大幅にアップグレードしたバージョンの近日発売がアナウンスされている。一方、コレクター向けの Atari XP として発売されるカートリッジ版はオリジナルの Atari 2600 で動作するように作られているといい、オリジナル版と同じようにシンプルなグラフィックになるようだ。それでも 6 つのワールドで新しいスクリーンが合計 80 追加されるなどのアップグレードが行われているという。なお、カートリッジスロットを搭載しない Atari VCS でカートリッジ版はプレイできない。

Atari は 1990 年代以来初のカートリッジ式新作ゲームリリースと説明するが、Atari XP シリーズでは未リリースのタイトルを含むカートリッジ式ゲームも限定販売している。カートリッジ版「Mr. Run and Jump」は 7 月 31 日から事前予約開始、価格は 59.99 ドルとなっている。

すべて読む | ハードウェアセクション | ハードウェア | ゲーム |

使用開始から3年でWestern Digital製ドライブの交換を促すSynologyのNAS

スラド

著者: headless

2023年6月17日 11:39

Western Digital 製ドライブを搭載する Synology の NAS 製品で、使用開始から 3 年ほどで累積通電時間が非常に長くなったとして交換の検討を推奨する「警告」ラベルが表示され、ユーザーを困惑させているそうだ (Ars Technica の記事、 The Verge の記事)。

警告ラベルは Synology のオペレーティングシステム、DiskStation Manager (DSM) に統合された Western Digital Device Analytics (WDDA) によるもので、特定の Western Digital 製ドライブの健康状態を監視し、それを維持するための提案も提供するという。

Synology の広報担当者によれば DSM では状態が「健康」のドライブのみストレージプールの修復や拡張に使用できるとのことで、警告を停止するか WDDA を無効化しなければ管理を続行できない。警告が表示され始めれるのは 3 年間の製品保証が切れるタイミングだが、S.M.A.R.T. 拡張テストを実行してもエラーは見つからなかったとの報告もみられる。

そのため、不要な早期買い替えを促すものだとして Western Digital を批判する声も出ているが、WDDA は監視システム用のストレージ管理ツールであり、NAS への適用が適切かどうかは不明だ。一方、Synology の NAS では Western Digital の NAS 用ドライブである Western Digital Red Pro/Red Plus のほか、監視システム用ドライブ Western Digital Purple を搭載するものもある。

WDDA は DSM 7.0 以降、および 22 シリーズより前にリリースされた特定のモデルでのみ利用可能ということで、現行モデルには影響しないようだ。Synology の広報担当者によれば、2022 年 7 月に発売された DS1522+ 以降で WDDA 搭載をやめているとのことだ。

TSMC誘致効果に沸く熊本、無人駅等で渋滞が深刻化

スラド

著者: nagazou

2023年6月17日 08:03

過去記事でも触れているが、半導体大手のTSMCが熊本県菊陽町に新工場を建設することが決定している。しかし、その結果、小さな町に大量の人口流入が見込まれ、不動産価格が上昇する一方で、交通渋滞の深刻化が予想されているそうだ（Bloomberg）。

Bloombergの記事によると、菊陽町の中心部にあるJR原水駅は無人駅にも関わらず、通勤客によって混雑し、首都圏並みの通勤ラッシュの様子が見られるという。台湾出身の侯偉芳さん曰く、最初は駅からすぐにバスに乗れたが、現在はいくつかのバスを見送らなければならない状況になっているという。バスに乗れない場合は会社から駅まで3キロほど歩くこともあるとのこと。

TSMCの劉徳音会長は、日本で2つ目の工場建設に向けた補助金について日本側と協議を続けているそうで、第2工場も第1工場の近くに建設する可能性があるという。実現すれば交通インフラ問題はさらに深刻になりそうだ。

すべて読む | 日本 | ビジネス |

League of Legends テーマのコカ・コーラ、経験値獲得の痺れる味

スラド

著者: nagazou

2023年6月17日 07:12

headless 曰く、

Coca-Cola Creations が League of Legends とコラボレーションし、対戦に勝利するなどゲーム内での成功を感じられるというフレーバーのコーラ「Coca-Cola Ultimate Zero Sugar」を限定発売する (製品情報、 Riot Games のプレスリリース、 The Verge の記事、 FOODBEAST の記事)。

Coca-Cola Ultimate Zero Sugar は Coca-Cola Zero Sugar をベースに、経験値獲得 (XP+) の痺れるような味を加えたものだという。発売地域は北米・中国・韓国・南米・アフリカとのことで、残念ながら日本では発売されないようだが、ミッションをクリアすることで限定版 Ultimate エモートが入手可能なゲーム内イベントが日本時間 7 月 19 日 15 時 59 分まで実施される。

ミッションと獲得可能な限定版 Ultimate エモートは以下の通り。

シングルゲームで 7 回のアシストを得て獲得できる Ultimate Teamplay エモート
シングルゲームで 12,000 ゴールドを稼ぐと獲得できる Ultimate Gains エモート
20 分以内でゲームに勝利すると獲得できる Ultimate Tempo エモート

すべて読む | idleセクション | idle | ゲーム |

50代のSNS関連トラブル相談が過去最多に

スラド

著者: nagazou

2023年6月17日 06:02

政府が13日に閣議決定した23年版「消費者白書」によれば、2022年に全国の消費生活センターなどに寄せられた相談のうち、SNSをきっかけとしたトラブルの相談が約6万500件に上り、過去最多となったそうだ。相談件数を年代別に見ると50歳代が1万2521件で最も多く、20歳代が1万1964件、40歳代が1万920件と続いた。従来はで20代からの相談が最多だったが、SNSの広告を見てブランドの服を購入したが、詐欺サイトだったとの相談が増え、その結果、中高年の相談件数の増加したとみられている（読売新聞、TBS NEWS DIG）。

すべて読む | ITセクション | 日本 | IT | SNS |

和製ChatGPTは戦艦大和にはしない

スラド

著者: nagazou

2023年6月17日 05:13

5月に広島で開かれたG7サミットでは、AIの国際的なルール作りに向けた「広島AIプロセス」が声明に盛り込まれた。日本政府の方針は、AI政策に関する提言をまとめる自民党のプロジェクトチームによって検討されたものだが、8日に開催されたデジタルガレージ主催の「THE NEW CONTEXT CONFERENCE TOKYO 2023 Summer」での講演の中で、その方向性がまとめられた背景に関する記事がCNETに掲載されている（CNET）。

プロジェクトチームが提言をまとめる際、官民総力を挙げて日の丸AIを作るための予算を充てるべきだという声が多く出たという。しかしプロジェクトチームは「もう戦艦大和は作らない」として、いわゆる護送船団方式を取らないという結論に至ったようだ。記事によると、AIのテクノロジーがどう進化するかわからないことから、不確実性の多いAIの進化に国の将来を賭けることはできないとの考えであるという。

またプロジェクトチームは、海外の基盤モデルAIを利用し、国内での応用研究や開発に取り組むためのパートナーシップを重視すべきだとし、海外のAIプラットフォームを活用しつつ、将来的に国産AIを生み出す基盤を築くべきだという方向性にまとまることになったとしている。

すべて読む | 日本 | 人工知能 |

リーディングビュー