Chromium 系ブラウザー、相次いで緊急アップデート

2022年3月27日 18:12

Google は 25 日、安定版チャネルの Chrome をバージョン 99.0.4844.84 に更新した (Chrome Releases の記事、 Neowin の記事、 Ghacks の記事)。

本バージョンでは実際に攻撃が確認されているというゼロデイ脆弱性 CVE-2022-1096 が修正されている。この脆弱性は V8 エンジンに存在する型の取り違えの脆弱性だという。Android版のChromeもバージョン 99.0.4844.84 に更新された。

これを受けて Chromium 系ブラウザーのデスクトップ版が相次いで更新された。26 日には Microsoft が Microsoft Edge 99.0.1150.55 (Chromium 99.0.4844.84 ベース) を、Vivaldi Technologies が Vivaldi 5.1.2567.73 (Chromium 98.0.4758.141ベース) をリリースし、27 日には Brave Software が Brave 1.36.122 (Chromium 99.0.4844.88 ベース) をリリースしている。

Vivaldi は Chromium 98 ベースだが、CVE-2022-1096はバージョン 5.1.2567.73 の Chromium 98.0.4758.141 で修正されているとのこと。Android 版 Vivaldi もバージョン 5.1.2567.72 で Chromium 98.0.4758.141 ベースとなっている。Opera は現在のところ Chromium 99.0.4844.51 ベースの 85.0.4341.18 から更新されていない。

日本の医療Q&Aサイト、公開状態のAmazon S3バケットからおよそ30GBの顧客データが流出

スラド

著者: headless

2022年3月26日 11:39

日本の医療 Q&A サイト Doctors Me がおよそ 30 GB の顧客データを格納した Amazon S3 バケットを誤設定で公開状態にしていたと、発見したセキュリティ情報サイトの SafetyDetectives が報告している (SafetyDetectives のニュース記事、 HackRead の記事)。

Doctors Me は匿名でヘルスケアの専門家に直接相談できる Q&A サイトで、症状の写真をアップロードすることも可能だ。公開状態になっていたバケットは発見時にも更新が続けられており、ファイル 30 万点以上、患者の写真およそ 12,000 点が含まれていたという。写真は相談者が本人や家族の症状を撮影したもので、顔面を撮影したものは子供の写真が中心とのこと。少数ではあるが、動物の写真も含まれていたそうだ。SafetyDetectives ではこのトラブルで患者のプライバシーが侵害されただけでなく、脅迫の材料となる可能性や、未成年者のプライベートな写真が捕食者間で流通する可能性を指摘している。

SafetyDetectives は昨年 11 月 11 日に問題を発見し、同日 Doctors Me に通知している。反応がなかったのか、11 月 21 日には Doctors Me に加えて JPCERT/CC にも連絡。以降は JPCERT/CC を通じたやり取りになり、今年 1 月 11 日になって AWS に連絡したと通知を受けたとのことだ。

森永製菓に不正アクセス、一部商品の製造が影響を受ける

スラド

著者: headless

2022年3月19日 13:32

森永製菓は 17 日、同社の管理運用する複数のサーバーが不正アクセスの被害にあったことを発表した (ニュースリリース: PDF、読売新聞オンラインの記事、 NHK ニュースの記事、時事ドットコムの記事)。

不正アクセスが確認されたのは 13 日深夜。14 日には対策本部を立ち上げて外部の専門機関の協力を受けて調査を進めているという。不正アクセス判明後、拡大を防ぐためただちに外部とのネットワークを遮断したが、一部の社内システムで障害が発生しているとのこと。

障害が発生しているのは製造関連や物流、営業支援といったシステムで、物流と営業支援のシステムは既に復旧しているが、一部の商品は製造できない状態が続いているそうだ。同社では安全を確認しながら復旧に向けた対応を進めており、製造できない商品は在庫で対応するとのことだ。

すべて読む | セキュリティセクション | セキュリティ |

共用レンタルサーバー、転送量無制限の時代に突入

スラド

著者: headless

2022年3月13日 15:53

あるAnonymous Coward 曰く、

さくらインターネット、エックスサーバー、ロリポップなど日本の共用レンタルサーバー業者は最近になって相次いでアカウントごとのデータ転送量の上限を撤廃し、無制限にして競争を行なっている。昔は料金段階性でちょっとでも上限を超えると次の日までサイトが見なくなったり、ファイル倉庫利用しているとアカウント停止にされるのを経験している身としては、すごい時代になりましたね。FTPやWebDAV使えるならクラウドよりも安くなってますし、ファイル利用を容認するところも増えてます。

英 BBC、ウクライナおよびロシア向けに短波放送を開始

スラド

著者: headless

2022年3月5日 17:18

英 BBC は 2 日、ウクライナおよびロシア向けに短波放送を開始すると発表した (BBC Media Centre、 The Guardian の記事、 The Verge の記事)。

BBC のウクライナ語版およびロシア語版へのアクセスや、英語版へのウクライナとロシアからのアクセスはロシアのウクライナ侵略開始以来大幅に増加しており、ニュース提供の弾力性を持たせるために短波放送を追加するという。この発表の後でロシアからの BBC サイトへのアクセスが制限されたと伝えられており、BBC では Psiphon や Tor Browser を使用して Web 版の BBC ニュースにアクセスする手順を解説している。

短波放送は 15,735 kHz で日本時間 23:00 — 1:00 および、5875 kHz で日本時間 5:00 — 7:00 の計 4 時間で、世界向けの英語版ニュース番組が放送される。放送はキエフおよびロシアの一部で良好な受信が可能とのこと。

一方、ロシアでは当局がウクライナへの軍事行動を「戦争」「侵略」などと呼ぶことを独立系ニュースメディアに禁じているが、4 日には「国家と国民の安全を守り、国際平和を維持する軍の活動について、虚偽の情報を故意に流布する」ことを犯罪行為とする法律が成立した。BBC はこの法律について、独立したジャーナリズムが犯罪扱いされる可能性を指摘し、一時的にロシア国内での活動を停止すると発表している。ロシア国内向けのニュースサービスはロシア国外から引き続き行うとのこと。

すべて読む | YROセクション | 通信 | YRO |

ウクライナ、Google マップのトラフィックがロシアの侵攻開始以降大幅に増加

スラド

著者: headless

2022年2月27日 19:08

Google 透明性レポートによるとロシアのウクライナ侵攻が始まった 2 月 24 日以降、ウクライナでは Google マップのトラフィックが大幅に増加したようだ (9to5Google の記事、 Android Police の記事、 Damian Menscher 氏のツイート)。

数字は全世界のリクエスト率に対する各地域でのリクエスト率の比率に定数を乗算したものだ。1 月 28 日以降、ウクライナの Google マップはピークで 50 前後を推移していたが、2 月 24 日のピークは 157.275 となり、その後も高い状態が続く。他のアプリでは Google ドキュメントや Google スプレッドシートが大幅に減少している。これについてGoogle の Damian Menscher 氏は、ウクライナの Google ユーザーが 24 日以降は仕事を止めて脱出計画を立て始めたとの見方を示している。

すべて読む | ITセクション | 地球 | 軍事 | Google | 統計 | IT |

人工視覚植込デバイス利用者、開発元のサービス終了で再び視力を失う危機に

スラド

著者: headless

2022年2月19日 19:34

人工視覚植込デバイスを開発・提供していた米 Second Sight Medical Products が経営難に陥って開発とサービスを打ち切り、350 人以上の利用者が再び視力を失う危機に陥っているそうだ (IEEE Spectrum の記事、 The Verge の記事)。

Second Sight の人工視覚植込デバイス「Argus」は患者の網膜に接続した電極から微弱な電気刺激を加えて視界に光の点を映すというものだ。カメラからの映像を変換して対応する位置に光の点を映すことで、第 1 世代の Argus I では 16 ピクセル、第 2 世代の Argus II では 60 ピクセルの映像が見えるようになる。Argus II は他の神経変調療法デバイスの 5 倍ほどの価格となるおよそ 15 万ドルで販売されており、手術やリハビリもあわせて 50 万ドルほどかかるが、それでも赤字だったという。

Second Sight は 2019 年 7 月に網膜植込型の技術を段階的に終了し、次世代の脳植込型人工視覚デバイス Orion の開発に注力する計画を患者に通知。以後も変わらず Argus のサポートを続けると約束していたが、2020 年 3 月には CEO 辞任に続いて植込みデバイス R&D 担当重役も辞任し、COVID-19による資金調達難を理由として大半の従業員の解雇と事業終了計画を発表した。さらに先日、米 Nano Precision Medical (NPM) との合併を発表したが、合併後は NPM の治療薬植込み技術の開発が中心となり、Orion の開発については何も決まっていないとのこと。

現在 Argus / Orion を使用している患者は故障がなければ使い続けることができるが、いつまで使えるのかわからない。既にデバイスが機能しなくなってしまった患者もおり、植え込んだままでは MRI が使えないなどの問題もあるが、取り外し手術も高額で高リスクのため、そのままにしている患者もいるとのことだ。IEEE Spectrum の記事では、今回の件により将来の患者はデバイス植込みを検討する際の選択がさらに難しくなる可能性を指摘している。

Google、幅広い場面での読みやすさを目指したフォント「Roboto Serif」を発表

スラド

著者: headless

2022年2月19日 15:48

Google は 16 日、幅広い場面での読みやすさを目指した可変フォント「Roboto Serif」を発表した (Material Design のブログ記事、 9to5Google の記事、 Android Police の記事、動画)。

Roboto Serif は Roboto フォントファミリーに追加されるが、既存のセリフ体 Roboto Slab が Roboto から直接派生したデザインなのとは異なり、セリフ体であることを主張しすぎないすっきりとしたデザインを目指して一から作られたという。また、可変フォントとしては太さ・幅・等級・オプティカルサイズの 4 つのバリエーション軸で幅広い調整が可能になっており、印刷物から画面表示、看板までさまざまな用途で快適に読むことが可能とのことだ。フォントファイルはRoboto Serif のフォント情報ページからダウンロードできる。

偽の「Get Windows 11」サイトでマルウェアキャンペーン

スラド

著者: headless

2022年2月13日 14:25

MicrosoftがWindows 11アップグレード提供計画がロールアウトの最終段階に入ったと発表した翌日の1月27日、ロシアで偽の「Get Windows 11」ページをホストするドメイン「windows-upgraded.com」が登録されていたそうだ (HP Wolf Security Blog の記事、 Neowin の記事、 On MSFT の記事、 Windows Central の記事)。

現在はこのドメインにアクセスできなくなっているが、HP Wolf Security によれば偽ページは Microsoft の「Get Windows 11」ページ (本物 ) そっくりで、互換性チェックのボタンがダウンロードボタンに置き換えられていたようだ。なお、理由は不明だが、偽ページの Google キャッシュは本物ページのキャッシュになっている。ダウンロードできるファイル「Windows11InstallationAssistant.zip」のサイズは 1.5 MB だが、展開すると 753 MB まで増加したという。実行ファイル「Windows11InstallationAssistant.exe」のサイズは 751 MB あり、大半が 0x30 でパディングされている。

パディングの目的の一つはマルウェアの検出を困難にするためとみられ、HP ではパディング除去してから実行ファイルの分析を行っている。ファイルを実行すると PowerShell プロセスが起動して 21 秒後に「win11.jpg」がダウンロードされる。このファイルは画像ファイルではなく DLL を反転させたもので、復元後の DLL は情報収集マルウェア RedLine Stealer のペイロードだったという。このキャンペーンについて、12 月に偽の Discord サイトで行われたキャンペーンとの関連も指摘されている。

HP では今回のキャンペーンについて、攻撃者がマルウェアを配布するため注目すべき出来事に素早く乗っかってくることを示すものだとし、ソフトウェアは信頼できるソースからのみダウンロードするよう注意喚起している。

すべて読む | セキュリティセクション | セキュリティ | Windows |

SpaceX、打ち上げ直後の Starlink 衛星の大半を磁気嵐で失う

スラド

著者: headless

2022年2月12日 17:37

maia 曰く、

SpaceX は日本時間 4 日、ケネディ宇宙センターから通信衛星 Starlink 49 基を Falcon 9 ロケットで打ち上げた (sorae の記事、 Gigazine の記事、 SpaceX の更新情報)。

初期の軌道高度は約 210 km と低いのだが、それは一旦ここで各衛星の機能に異常がないか確認するためで、正常に機能しない衛星は空気抵抗で軌道を外れて破棄される。しかし、打ち上げの翌日に地磁気嵐が発生し、超高層大気の温度と密度が増して抵抗が 50 % 増しになった。これによって最大 40 基の衛星が喪失した、またはするとみられる。

実は 1 月 30 日、ちょっとした太陽フレア及びコロナ質量放出 (CME：Coronal Mass Ejection) が発生しており、地球に到達して地磁気嵐を引き起こしていた。また 9 日〜 10 日にも次の CME が到達したはずである(Space.com の記事、 India Today の記事)。

軌道上昇中の Starlink は衛星本体の前に太陽電池パネルが並ぶ「開いた本」のような状態になるが、空気抵抗の影響を最低限にするため Starlink チームは開いた本を立てた状態のセーフモードに移行するようコマンドを送ったという。しかし、空気抵抗の増加によりセーフモードを抜けて軌道上昇マヌーバ―を開始することができず、大半がそのまま大気圏へ再突入したとみられる。プエルトリコでは現地時間 7 日 2 時 40 分頃 (日本時間 15 時 40 分頃)、再突入した Starlink 衛星が燃え尽きる様子が Sociedad de Astronomía del Caribe (SAC) により撮影されている (SlashGear の記事、 SAC のニュース記事、動画)。

スピーカーを無効化した AirTag、オンラインマーケットプレース出品で注目される

スラド

著者: headless

2022年2月6日 12:25

Apple は持ち物追跡デバイス AirTag の悪用防止策の一つとして持ち主から離れた時に音を鳴らす機能があると説明しているが、そのスピーカーを無効化した AirTag がオンラインマーケットプレースに出品されて注目を集めた (The Next Web の記事、 PCMag の記事、 9to5Mac の記事、 Mac Rumors の記事)。

最初に注目されたのは Etsy に「Silent AirTag」として出品されたもので、同様の製品は eBay でも見つかっている。Etsy の出品者はストーキング目的で使われることは考慮していなかったとして出品を取り消しており、eBay の出品も取り消されているが、両サイトともに「Silent AirTag」で検索すれば同様の製品がいくつか見つかる。

今回はマーケットプレース出品で注目されたが、AirTag のスピーカー (コイル) 取り外しは特に難しい作業ではなく、かなり前から知られていたようだ。取り外し手順を紹介する動画などはインターネット上でいくつも公開されている。

The Next Web では Apple がスピーカー取り外しを検知して無効化する機能を追加することも理屈の上では可能だとしつつ、いずれにしてもスピーカーをカバーしてミュートすることは防げないと指摘している。そもそも AirTag で音を鳴らす機能は持ち物を見つけやすくするのが主目的であり、悪用防止には音が小さすぎるとみられる。

徹夜組が消えたコミックマーケット 99

スラド

著者: KAMUI (posted by headless)

2021年12月30日 14:24

KAMUI 曰く、

12 月 30・31 日に開催のコミックマーケット 99 で、長年の問題となっていた徹夜組が居なくなったことがツイッターで報告されている。

これは COVID-19 予防のため事前購入のチケット入場制になったことが原因ではあるのだが・・・なお、同様にコミケット会場での飲食に制限が掛かっており、この余波で会場内のコンビニには弁当類が置かれていない模様。参加者は注意されたい。

すべて読む | idleセクション | アニメ・マンガ | idle |

バーチャル秋葉原、来春オープン

スラド

著者: headless

2021年12月26日 16:28

あるAnonymous Coward 曰く、

大日本印刷が神田明神と AKIBA 観光協議会公認の「バーチャル秋葉原」を開発し、2022 年春に公開するとのこと (プレスリリース、公式サイト、 Impress Watch の記事、ティザー動画)。

秋葉原の中央通りと神田明神を「XR 空間」として構築するらしいが秋葉原は既視感のあるサイバーパンクを彷彿させる。ブレードランナーや公安9課やニンジャが出てきそうである。

すべて読む | テクノロジー |

チェコ海賊党、新政府に 3 人の閣僚を送り込む

スラド

著者: headless

2021年12月26日 13:57

チェコ海賊党が連立政権に加わり、3人の閣僚を新政権に送り込んだ (TorrentFreak の記事、 EURACTIV の記事)。

新政権では党首の Ivan Bartoš 氏が地域開発大臣および副首相 (デジタル化担当) に就任し、Jan Lipavský 氏が外務大臣、Michal Šalomoun 氏が立法担当大臣および立法評議会の議長に就任した。海賊党の連立政権参加はチェコ海賊党が初となる。

チェコ海賊党は 2017 年の総選挙で国政第 3 党となっており、今年 10 月の総選挙では「市長と独立候補」党 (STAN) との連合で 15 % の票を獲得した。このほか、2018 年にはプラハ市議会で第2党に躍進して同党プラハ代表がプラハ市長に選出され、2019 年には同党議員が欧州議会副議長に選出されるなど、EU 域内で最も影響力のある海賊党になっている。

すべて読む | YROセクション | YRO | EU | 海賊行為 | 政治 |

YouTube が非表示化した動画の低評価カウントを表示する拡張機能、その仕組みは？

スラド

著者: headless

2021年12月5日 18:48

YouTube が非表示化した動画の低評価カウントを表示する拡張機能「Return YouTube Dislike」が公開されている (9to5Googleの記事、拡張機能の FAQ ページ)。

Return YouTube Dislike は現在のところ、YouTube の公式 API を使用して低評価カウントを取得している。ただし、この API は 12 月 13 日で提供が打ち切られるため、以降は推計になるそうだ。開発者は現在の低評価カウントのアーカイブを進めており、拡張機能のユーザーデータと再生/高評価の比率を組み合わせて推計することになる。

拡張機能は Chromium 系ブラウザー向けが Chrome ウェブストアで、Firefox 向けが Mozilla のアドオンストアで公開されているほか、UserScript やサードパーティによる脱獄済み iOS 向けのバージョンも入手可能だ。

現在のところ低評価カウントは 2 ～ 3 日おきに更新されているが、短縮することも計画しているとのこと。YouTube の動画の数は膨大だが、うまくいくだろうか。

関連ストーリー：
YouTube、動画に対する低評価カウントを非表示化へ 2021年11月13日

冬コミ、チケット入場制で開催

スラド

著者: headless

2021年11月14日 17:40

akiraani 曰く、

12 月 30 日～ 31 日に東京ビッグサイトで開催されるコミックマーケット 99 の開催情報が出ました (開催情報、チケット情報、ねとらぼの記事)。

一般入場も完全チケット制となり、フリー入場がなくなるのはもちろん、当日チケットの販売もありません。入場前に受付でワクチン接種証明もしくは PCR 検査証明が必要になるため、入場前に本人確認が行われます。このため、オークションサイトなどで転売チケットを入手しても入れない可能性が高いです。

また、入場者分散のためエリアが東西に分かれて、それぞれ別にチケットの購入が必要になる上、会場内では東西エリアの移動が出来ないため、実質どちらか片方しか参加出来ません。

ちなみに、由緒正しきアレゲな方々が興味を持ちそうな同人ソフトやデジタル関係は 12 月 31 日 (金) の配置になります。

Chromium 系ブラウザーでページのソース表示がブロックできない問題、修正へ

スラド

著者: headless

2021年11月14日 16:02

Chromium 系ブラウザーの「URLのリストへのアクセスをブロックする」ポリシーでページソースの表示をブロックできない問題が修正されるようだ (Issue 895462、 Chromium Gerrit、 9to5Google の記事、 The Register の記事)。

この問題は 3 年前に報告されたもので、Google Forms を使用した学校のテストでソースに正解が含まれる問題が指摘されていた。ただし、Issue 895462 で挙げられている例題ではソースを見ても正解を特定できないとみられる。また、view-source:[URL] のように指定することで URL をブロック対象にしてもソースが表示されてしまうという問題も指摘されていたが、現在はURL がブロック対象になっていればソース表示もブロックされる。

現在のところ、Chrome の「URL のリストへのアクセスをブロックする」ポリシーを有効にして「view-source:*」を対象に追加すれば、Chrome Canary (バージョン: 98.0.4704.0) でソース表示のブロックが確認できる。ただし、「[ソースを表示しようとしたページのドメイン名] はブロックされています」と表示される (実際にはブロックされていない) ため、少しわかりにくい。

いまさらだけれど書籍の『自炊』ってどうだった？

スラド

著者: headless

2021年11月14日 13:59

m_nukazawa 曰く、

いまさらながら自宅の書籍などをスキャン、いわゆる『自炊』しようかと考えている。
『自炊』が流行した (？) のはもう数年前のことで、先達には自炊してその後どうなったか、いろいろ (苦いものを含め) 経験が溜まっている頃かと思う。

ちなみにやろうと思って情報を集めているのだが、自炊の性質上『一回まとめてやったら終わり』というヒトも多いのか継続した情報があまりなく、また数年前の内容になっているWeb記事が多く、情報収集するにも苦労している。

スラド諸氏は自炊を行ったことがあるだろうか。した方は、いつ頃どのように自炊したのか、その後自炊した書籍をどう利用しているかなど教えてほしい。

スラドのストーリーで前回「自炊」という言葉が出てきたのは 2015 年、非破壊ブックスキャナーのクラウドファンディングに関するもので、実際に盛り上がっていたのは10年ぐらい前のようだ。購入できるものは購入してしまった方が早いように思われるが、スラドの皆さんのご意見はいかがだろうか。

山手線内回り池袋 → 渋谷 → 大崎間、土日は線路切替工事のため終日運休

スラド

著者: headless

2021年10月23日 11:39

JR 東日本は 23 日と 24 日の 2 日間にわたり、山手線内回り池袋 → 渋谷 → 大崎の区間を終日運休する (渋谷駅改良工事のお知らせ、工事に伴う運転変更のお知らせ、運行情報・運休情報)。

渋谷駅では 2015 年から駅改良工事を進めているが、23 日と 24 日には山手線内回りホームを拡幅するため、線路切替工事を実施する。これにより、内回りの池袋 → 渋谷 → 大崎間のすべての列車が運休となるのに加え、大崎 → 東京 → 池袋間では本数を大幅に減らして運転し、山手線外回りでも本数を減らして運転する。

また、運休に伴い他社の各路線で振替輸送を実施するほか、京浜東北・根岸線では快速運転を中止して終日各駅停車で運転し、埼京線・りんかい線の増発や、相鉄線直通列車の新宿～池袋間の延長運転、山手貨物線の線路を利用した臨時列車の運転なども行われる。

線路切替工事に伴う山手線の運転見合わせとしては、JR 東日本発足以来最長とのことだ。

ソユーズ MS-18、地球帰還前のテストで国際宇宙ステーションを傾ける

スラド

著者: headless

2021年10月17日 17:33

ロシアの映画監督と俳優を含む 3 人のクルーを乗せたソユーズ MS-18 は日本時間 17 日 13 時 35 分に国際宇宙ステーション (ISS) から地球へ帰還し、帰還用カプセルがカザフスタンに無事着陸したが、帰還に先立つエンジンテストでは ISS を傾けるトラブルが発生していたそうだ (ロスコスモスのニュース記事、 The Verge の記事、 The New York Times の記事、 SlashGear の記事)。

トラブルが発生したのは日本時間 15 日 18 時 13 分頃。帰還時にコマンダーを務めたロスコスモスのオレグ・ノビツキー宇宙飛行士が ISS にドッキングしている MS-18 の噴射テストを実行したところ、終了予定時間を過ぎても予期せず噴射が続いてしまったのだという。ISS は 57 度回転したが、すぐに正常な状態へ復元されたとのこと。ISS では 7 月にもロシアの多目的実験棟 (MLM) ナウカが予定外の噴射を行って回転するトラブルが発生している。

なお、映画監督と俳優が今回 ISS へ行ったのは映画撮影のためだが、着陸後のシーン撮影は着陸地点でも続けられた。また、ノビツキー宇宙飛行士は今回 191 日間 ISS に滞在し、宇宙滞在日数が合計 531 日となったそうだ。

リーディングビュー