XZ Utilsにバックドア攻撃が行われるまでのタイムラインまとめ
2024年3月29日に、圧縮ツールの「XZ Utils」に、悪意のあるバックドアが仕込まれていたことが明らかになりました。どのようにバックドアが仕掛けられたのかについて、Googleのエンジニアであるラス・コックスさんが時系列順にまとめました。 research!rsc: Timeline of the xz open source attack https://research.swtch.com/xz-timeline XZ Utilsおよび設置されていたバックドアについては下記の記事で解説しています。 Red HatやDebianなどLinuxディストリビューションの組込み圧縮ツール「XZ Utils」に悪意のあるバックドアが仕掛けられていたことが発覚 - GIGAZINE XZ Utilsへの攻撃を行った「Jia Tan」という名前の攻撃者は2021年後半ごろから数年に渡ってXZ
ネピアの”数ヶ月詰め替え不要なティッシュ"最強説！ 部屋の生活感も消せちゃった | ROOMIE（ルーミー）
いつもの6倍以上入っている 中身をドーン！ と出してみました。 この量、なんと920組・1840枚！ 右のが普段使ってるエコタイプのティッシュ150組（300枚）それと比べると、なんと6倍以上。 200枚入りだとしても4.5倍以上。 1枚のサイズも大きいので、かなりのボリュームがあります。 単純に、6回分の詰め替えの手間を省けるということですよね！ どうやって使うの？ でもこれ、どうやって使うの？ このまま置くわけではなく、使い始める前に一手間必要です。 持ち手になってる“あの紐”もいい仕事してくれるんですよ。 手順はこう、丁寧に図解してあるのでわかりやすい〜！ 角をハサミで切って、外側に巻いて、紐で結ぶ。 ということで実際にやってみますね。 2箇所にある点線部分をハサミでカットします。 あとは、カットした分だけ外側にくるくる巻きます。 丁寧にするより大胆に巻いた方がこなれ感が出るのでオス
xzにバックドアが混入した件のまとめ(CVE-2024-3094) - Qiita
本記事は4月3日21:30（JST)時点で判明している事実をまとめたものです。誤りがあればコメントでお知らせください。 本記事には誤りが含まれている可能性があります。 新しい情報があれば随時更新します。 ** 4/2 18:30 Q&Aを追加しました。 4/2 11:30 実際にバックドアが存在する環境を作成し、攻撃可能なこと、出力されるログ等について追記しました。また、攻撃可能な人物は秘密鍵を持っている必要があることを追記しました。** ところどころに考察を記載しています。 事実は～です。～であると断定し、考察、推測、未確定情報は考えられる、可能性があるなどの表現としています。 またpiyokango氏のまとめ、JPCERT/CCの注意喚起もご覧ください。 なお、各国のCSIRTまたは関連組織による注意喚起の状況は以下のとおりで、アドバイザリを出している国は少ない状況です。 概要 問題の
XZ Utilsの脆弱性 CVE-2024-3094 についてまとめてみた - piyolog
2024年3月29日、Linux向け圧縮ユーティリティとして広く利用されているXZ Utilsに深刻な脆弱性 CVE-2024-3094 が確認されたとして、研究者やベンダがセキュリティ情報を公開しました。この脆弱性は特定の条件下においてバックドアとして悪用される恐れがあるものとみられており、当該ソフトウエアのメンテナのアカウントにより実装されたソフトウエアサプライチェーン攻撃の可能性が指摘されています。ここでは関連する情報をまとめます。 脆弱性の概要 xzとは主要なLinuxディストリビューションに含まれる汎用的なデータ圧縮形式で、今回問題が確認されたのはその圧縮・解凍ユーティリティであるliblzma(API)を含むXZ Utils。CVE-2024-3094が採番されており、Red Hatによって評価されたCVSS基本値はフルスコアの10。影響を受けたライブラリをリンクしているssh
Linux向け有名パッケージxzにsshバックドアできる脆弱性が埋め込まれた問題について調べる
取り急ぎの記載ですが、以下のpiyoさんの記事がかなりまとまっているのでこちらを読んでいただくのが良さそうです。 https://piyolog.hatenadiary.jp/entry/2024/04/01/035321 これはなに ここ数日インターネットで騒がれたxzのセキュリティ事案について一旦自分で調べたやつです。 ついでに、こういう件の当事者（自社製品に脆弱性が見つかったり、脆弱性を発見したり）になったときどうしよう、というところも少し調べました。 xzについて調べた内容 概要と結論 Linux向けに広く利用されていたxzにsshでバックドアできる脆弱性が埋め込まれていた 対象のバージョンはxz 5.6.0, 5.6.1 5.6.1が最新なので一般的なLinuxディストリビューションでは利用されてないっぽい RedHatの一部ディストロ以外は問題ない こちらの記事が正確 XZ U
xzの脆弱性(バックドア埋め込み: Critical: CVE-2024-3094) - SIOS SECURITY BLOG
03/29/2024にxzの脆弱性(バックドア埋め込み: Critical: CVE-2024-3094)が公開されました。Fedora Linux 40beta, Fedora rawhide, Debian unstable等の一部のOpenSSHにも使われており、バックドアを利用してログインが出来る状態だったという話も出ています。ソフトウェアサプライチェーン攻撃の一つとも捉えられており、いずれSBOMと関係する話として取り上げられると思います。 （SBOMの話、VEXの話はこちら）。 今回はこちらの脆弱性の概要と、各ディストリビューションの対応について纏めます。 【04/01/2024 09:45更新】情報が纏まっているサイトを更新しました。また、piyologさんからリンクを貼っていただいていたので、こちらも載せています。その他、「xz –version」を実行するのもだめという話
Selenium IDEで作ったテストをselenium-side-runnerを使ってheadlessで動かしてTravisCIでビルドする - Qiita
Selenium IDEで作ったテストをselenium-side-runnerを使ってheadlessで動かしてTravisCIでビルドするChromeSeleniumTravisCISeleniumIDEheadless-chrome 背景 10分でわかるブラウザ処理自動化！初心者向けSelenium IDE入門ガイド (2019/08版 : Selenium IDE v3.12.0)で初心者向けの入門ガイドを書きました。 更に次のステップに進むと、これだけではやりたいことはあってもそれをどのコマンドを使って実現できるのかわからないと思い、Selenium IDE コマンドリファレンス (2019/09版 : Selenium IDE v3.12.0 [全96コマンドを徹底解説])を書きました。 導入からテスト作成まで自動化するハードルが全然高くないというのはご理解いただけたのではない
【朗報】Xperia 10 Vが爆安スマホに。約8万円→9840円、5000mAh大容量電池なのに159gの爆軽超コスパ - すまほん!!
ソニーのスマートフォン「Xperia 10 V」。定価7万9920円だったところ、3月1日から価格改定して3万1824円に値下げしています。 ソフトバンク公式オンラインでは在庫が枯渇したままですが、ソフトバンク正規代理店「スマホ乗り換え.com」にて入荷。オンラインで購入可能となっています。 しかも新規(5‐22歳)またはMNPにて、対象プラン（ペイトク無制限/50/30/メリハリ無制限＋/スマホデビュープラン+20GB）のいずれかに加入すると独自割引2万1984円適用、なんと価格9840円の良コスパスマホに。 Xperia 10 Vは大容量5000mAh電池なのに超軽量159gでスピーカー良好の個性的な機種ですが、SoCがSnapdragon 695という致命的な欠点がありました。価格約8万円では高すぎますが、9840円なら爆安超コスパスマホです。この機会をお見逃しなく。
Retty の Terraform CI/CD 解体新書 - Retty Tech Blog
Retty インフラチームの幸田です。 6月に実施したマイクロサービス強化月間で公開した記事では、マイクロサービス環境を Terraform を利用して刷新した話を書きました。 engineer.retty.me この記事では前回と重複する箇所もありますが、Terraform の CI/CD にフォーカスした内容を書こうと思います。 CI を整備するにあたって意識したこと 「誰でも」かつ「安全に」利用できるように CI 上ですべての作業を完結させる Pull Request によるレビュー環境の整備 バージョンアップ作業の完全自動化 Terraform のディレクトリ構成について リポジトリの運用フロー Terraform によるリソースの追加、変更、削除 tfmigrate によるステートファイルの操作 CI で実行される job について Pull Request をオープンした時 P
【漫画】理由もなくバイクの免許を取りたいと思った作者…連載後の休暇で描いたエッセイ漫画に「深い話」「短いのに心にくる」の声 | WEBザテレビジョン
描いたきっかけは「自分の過去を反芻するため」 『バイクの話』(5／7)画像提供／三都慎司さん ――『バイクの話』を創作したきっかけや理由があればお教えください。 『新しいきみへ』という連載が完結し、次回作について少し考え始めるタイミングでした。 『新しいきみへ』書影(C)三都慎司／集英社 数年間どっぷりと『新しいきみへ』の世界にいたので、次の作品を企画する前に「自分がこの社会や世界をどう捉えてるのか」「なにを楽しいと思ったり、なにを好きだと思ったりするのか」と向き合う必要があります。 ちょうどそういうタイミングでしたから、自分の過去を反芻するために描きました。もちろんそれだけで新しい漫画が描けるわけではないので、あくまで通過儀礼の一つですが。 ――描いたうえで「こだわった点」あるいは「ここに注目してほしい！」というポイントがあれば教えてください。 情けない答えですが、そもそも他人に見せるた
【北海道民に愛され続けて94年】札幌千秋庵の洋風煎餅「山親爺」が新パッケージデザインで登場。さらに、北海道民なら誰でも歌える山親爺のテレビCMがYUKIさんの歌声で26年ぶりに復活！
【北海道民に愛され続けて94年】札幌千秋庵の洋風煎餅「山親爺」が新パッケージデザインで登場。さらに、北海道民なら誰でも歌える山親爺のテレビCMがYUKIさんの歌声で26年ぶりに復活！2024年3月18日(月)からテレビCM オンエア開始 ※初回は3月18日(月)16時台予定 (テレビCMオンエア後、札幌千秋庵公式YouTubeでも公開) 創業102周年を迎えた千秋庵製菓株式会社（本社：北海道札幌市、代表取締役社長：中西克彦）は、2024年3月18日より看板商品「山親爺」のパッケージデザインをリニューアルいたします。 さらに、「出てきた、出てきた、山親爺～♪」という歌詞でお馴染みの山親爺のテレビCMが26年ぶりに復活いたします。復活するCMの歌唱は歌手のYUKIさん、編曲は音楽プロデューサーの蔦谷好位置さんという北海道出身のおふたりによる豪華なコラボレーションが実現いたしました。 ●洋風煎餅
大炎上したスクールフォト業界で勤めてたんだが、もう学校写真のカメラマンは限界かもしれない｜所在ない
小学校の林間学校のキャンプファイヤーの様子 ・スクールフォト業界にて炎上事案発生２０２４年２月２８日、Twitterに書かれたとある投稿が、学校カメラマンや写真業界を超えて、SNSで大炎上してしまった。 「カメラマン大大大募集です 現在3名しか決まっておらず、あと100名くらい来ても大丈夫です。詳細は下記をご覧下さい。 もし経験が無くて不安な方は3/16(土)、23(土)に同様の撮影があるので私や他のカメラマンの撮影に同行して教えます。どしどしご連絡待ってます。 小・中学校入学式の写真撮影案件 日時:4/8(月)9:00-16:00予定 ※午前か午後どちらかだけの対応でも可能 場所:埼玉&東京&千葉&神奈川(少し)の小中学校 ※出発場所を考慮して1時間圏内で撮影場所をご依頼します 撮影内容:式の前後のスナップ写真&式最中の様子など 必要な経験: 一眼レフで人を撮った事がある方 必要な機材:
クモと思ったらトコジラミ…東京都内から乗った電車座席に 暖かくなると被害増加か
2 驚異的な繁殖力で厄介者のトコジラミが首都圏の電車内のシートで目撃されました。暖かくなるこの時期から被害が増えるとみられるなか、どう対策すべきか取材しました。 ■クモと思ったら…電車のシートで目撃
UIの色を変えただけで大量のクレームを頂戴してしまった話｜のなと
Webプロダクト開発をしていると様々な諸事情によりUI構成を変えたり機能を増やしたり減らしたりすることが多々あると思います。そんな時に避けられない事態として「UI変更に対するお怒りがユーザーからわんさか届いてしまう」ということがあります。今回はUI上の１要素の色を変えただけで虎の尾を盛大に踏んでしまった事件の話をしようと思います。差し当たりどういうUIをどう変えたのかを明示しておきます。変える前がこちら↓↓ beforeUIほんで変わった後がこちら↓↓ afterUIご覧の通り「作業カード」と呼ばれるコンポーネントの色を「緑＆黄」から「緑塗り＆緑枠線」に変更しました。「え、それだけ？」という声が聞こえてきそうですがそうなんです。それだけなのです。しかしここはレガシードメインのtoB SaaS。toB SaaSではUIの変更がユーザー業務への影響に直結するので軽微な変更を加えるのもハードルが
《河合優実インタビュー前編》80年代に「行ってみたい」、ロングセーラー服やボディコンは「すぐに見慣れた」 TBS「不適切にもほどがある！」（2/2ページ）
――現代ならコンプラ的に引っかかるような昭和ワードが入ったセリフに抵抗はありませんでしたか？ 「市郎に対する悪口とかは、そういうキャラクターなので抵抗はなかったです。純子は市郎ほど、現代の人から見たら不適切だと思われる価値観を露呈することはそんなにないのですが、それでも多少はあって、（第4話で）キヨシが『前の中学校にゲイの子がいたし』と言うシーンで『え～！』とぎょっとしたリアクションをしなければいけなかったのですが、いまの自分にはない感覚なので、抵抗はありました。自分の価値観を昭和時代に育ててきたらこうなるよな…というのは頭では理解していますが、口に出すのは難しかったです」 「初めて2人きりで話すシーンは感動した」――お気に入りのセリフやシーンを教えてください 「たくさんあるのですが、とくに渚と会うシーンですかね。私は当初は『令和には行かない』と聞いていましたが、（3月1日に）第6話で放送
【翻訳】テスト駆動開発の定義 - t-wadaのブログ
このブログエントリでは、テスト駆動開発（TDD: Test-Driven Development）の考案者Kent BeckがTDDの定義を改めて明確化した文章を、許可を得たうえで翻訳し、訳者の考察を沿えています。 きっかけ 2023年の年末、テスト駆動開発（TDD: Test-Driven Development）の考案者Kent Beckは、substackにTDDに関するポストを連投して論戦を繰り広げていました。TDDはその誕生から20年以上が経ち、その間に「意味の希薄化」が発生して議論が噛み合わなくなっていました。意味の希薄化（Semantic Diffusion）とは、新しく作り出された用語が広まる際に本来の意味や定義が弱まって伝わる現象です。 私（和田）はTDDと関わりの深いキャリアを歩んできました。Kent Beckの著書『テスト駆動開発』の翻訳者であることもあり、TDDの正
AWS 上の CI/CD パイプラインにおける Terraform State ファイル管理のベストプラクティス | Amazon Web Services
Amazon Web Services ブログ AWS 上の CI/CD パイプラインにおける Terraform State ファイル管理のベストプラクティス はじめに 昨今、多くのお客様はインフラストラクチャのデプロイとメンテナンスに関する手動運用を減らしたいと考えています。 AWS でインフラストラクチャをデプロイしたり運用したりするためには、 AWS CloudFormation、AWS Cloud Development Kit (AWS CDK)、 Terraform のようなツールを利用した Infrastructure-As-Code (IaC) モデルを採用することが推奨されます。 Terraform を利用する上では、インフラストラクチャの設定やリソースを追跡するための State ファイルの管理がとても重要な要素となります。 AWS 上の CI/CD パイプラインで
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【AI×PDF】ChatGPT・Claude 3などの生成AIでPDFファイルを10倍活用する方法【柳谷智宣の「実は色々できるPDFの活用法」】
Windowsでもようやく利用できるようになった「Sudo」コマンドを早速体験／Linuxの「Sudo」とは似て非なるものだが快適。セキュリティレベルの低下には注意【やじうまの杜】
【墨田区】特別料金は不要。「たった一区間だけの特別電車」が今年も運行されています。
