xzパッケージに仕込まれた3年がかりのバックドア、スケール直前に見つけたのはMicrosoftの開発者 | gihyo.jp
Linux Daily Topics xzパッケージに仕込まれた3年がかりのバックドア、スケール直前に見つけたのはMicrosoftの開発者 “アップストリームのxzリポジトリとxz tarballsはバックドア化されている（The upstream xz repository and the xz tarballs have been backdoored）”―2024年3月29日、Microsoftに所属する開発者 Andres Freundが「Openwall.com」メーリングリストに投稿したポストは世界中のオープンソース関係者に衝撃を与えた。 backdoor in upstream xz/liblzma leading to ssh server compromise -oss-security 主要なLinuxディストリビューションにはほぼ含まれているデータ圧縮プログラ
XZ Utilsの脆弱性 CVE-2024-3094 についてまとめてみた - piyolog
2024年3月29日、Linux向け圧縮ユーティリティとして広く利用されているXZ Utilsに深刻な脆弱性 CVE-2024-3094 が確認されたとして、研究者やベンダがセキュリティ情報を公開しました。この脆弱性は特定の条件下においてバックドアとして悪用される恐れがあるものとみられており、当該ソフトウエアのメンテナのアカウントにより実装されたソフトウエアサプライチェーン攻撃の可能性が指摘されています。ここでは関連する情報をまとめます。 脆弱性の概要 xzとは主要なLinuxディストリビューションに含まれる汎用的なデータ圧縮形式で、今回問題が確認されたのはその圧縮・解凍ユーティリティであるliblzma(API)を含むXZ Utils。CVE-2024-3094が採番されており、Red Hatによって評価されたCVSS基本値はフルスコアの10。影響を受けたライブラリをリンクしているssh
オープンソースの誕生
VA Researchの歴史においてオープンソースは外せない話題であるが、特に1998年の2月から4月までの期間はVAを抜きにしてもオープンソースにとって極めて重要な出来事が多いのでやや詳細に書いていく。現在、一般的にオープンソースの誕生は下記のように説明されることが多いのではないかと思う。 「Netscapeブラウザのソースコード公開計画の公表を受け、1998年2月にLinuxとフリーソフトウェアの開発者、コミュニティリーダーらがシリコンバレーに結集し、フリーソフトウェアに替わる用語としてオープンソースという言葉を生み出し、その定義を定め、オープンソースという商標を管理する組織を作った。Linus Torvaldsなどの著名なハッカーがそれに対して賛同し、一般に広まった。」 特にフェイクが含まれているわけでもないし、大概これで問題ないようには思うのだが、何故、この言葉を生み出す必要があっ
クラウドベンダなどによるサービス利用を制限したMongoDBの新ライセンス「SSPL」を理由にDebian、Fedora、RHELがMongoDBの配布取りやめを表明 － Publickey
クラウドベンダなどによるサービス利用を制限したMongoDBの新ライセンス「SSPL」を理由にDebian、Fedora、RHELがMongoDBの配布取りやめを表明 MongoDBがAWSなど大手クラウドベンダによるサービス化に反発し、商用サービス化を制限する新ライセンスに変更したことは以前の記事で紹介しました。 参考：Redis、MongoDB、Kafkaらが相次いで商用サービスを制限するライセンス変更。AWSなどクラウドベンダによる「オープンソースのいいとこ取り」に反発 新ライセンスはAGPLをベースにMongoDBが独自に作成したもので、「Server Side Public License」（以下、SSPL）と呼ばれています。 SSPLではサービス提供元もソースコード公開を義務化 SSPLでは、MongoDBをサービスとして提供する場合、サービス提供元が独自に変更した部分を含めて
Linuxディストリビューションから消えてもMySQLが進化するワケ
昨年末から、代表的なオープンソースDBMSであるMySQLを巡る話題が、Linux関連のニュースサイトをにぎわせている。MySQLといえば、拡張性や保守容易性、参照性能などが優れるという特徴を持ち、Yahoo!やTwitter、モバゲーといった巨大サイトをはじめとする各種Webシステムに利用されている。約2年半ぶりにバージョンアップが行われ、新版（5.6）が2013年2月にリリースされたわけだが、それがにぎわいを呼んでいるわけではない。 Linuxカーネルが1991年に登場してから既に20年以上が経過し、いまではそれを使いやすくするために各種オープンソースのソフトウエアを組み合わせたLinuxディストリビューションが数百種類も開発されている。その中でも、開発コミュニティーの活動が活発で、他ディストリビューションに大きな影響を及ぼしているFedoraやArch Linux、Slackware
The Revenge of the Hackers(ハッカーの復讐)
Next: Brooksの法則を超えて The Revenge of the Hackers(ハッカーの復讐) 著：Eric.S.Raymond <esr@thyrsus.com> 訳：中元 崇と黒木掲示板の常連の皆様方 私が 「ハッカー界小史」 の最初の版をWeb上に公開したのは1996年のことだった。 私は独自性を持った文化の一つであるハッカーの文化に、もう長いこと、私が 1990年に「新ハッカー辞典」の最初の版を出すずっと前から、魅了されていた。 1993年の終り頃には私自身も含めて多くの人々が私のことをハッカー文化の種族 の中の歴史家であり、定住調査する民族誌学者でもあるとみなすようになった。 私はその役割に満足していた。 そのころは、私の文化人類学の真似事自体がその後の変化への重要な触媒になる とは想像もしていなかった。だからそれが起こったとき、私自身より驚いた人は 誰もいないに
オライリー・ジャパンのePUBフォーマットを支える制作システム
オライリー・ジャパンから先日発表されたプレスリリース「ePUBフォーマットによる電子書籍のラインナップを開始します」にあるとおり、弊社トップスタジオはオライリー・ジャパンとの共同事業として、ePUBフォーマットでの電子書籍の制作を開始しました。 トップスタジオではこのePUBフォーマット電子書籍の出版候補の選定、翻訳、編集、そしてePUB制作までに関わっています。本稿では、このePUBの制作プロセスを支えるシステムにフォーカスを当て、その仕組みについて紹介します。 フリーソフトウェア/オープンソースソフトウェアの集合体としてのシステム ePUBの作成にはいろいろな手法がありますが、制作を支えるシステムを構築する上で最も重視したのは、できる限り自動化し、手作業による調整を最小限にするということでした。そのため、このシステムでは原稿を常に最新マスターデータとしてそこから一方向にePUBを作成す
Rubyはどこへいくのだろう - kuenishi's blog
FLOSSがメンテナンスされていく過程では、次のどちらかがかならず必要になる*1。 そのFLOSSの周囲に巨大なエコシステムが形成され、コミュニティが共同統治できていること- たとえば、Apache, Debian, Python そのFLOSSに強力なスポンサーがおり、メンテナンスされていること - たとえば、Java, Erlang, このどちらかが成立していなければ、そのプロダクトは生き残れない。だから、わたしはRubyのことを心配している。 Ruby1.8のコミッタの卜部さんが書いたように、Rubyはその大規模なユーザーベースにも関わらずガバナンスが存在しない。しないといっては失礼だが、ここでの意味はApacheやDebian、Pythonのようなレベルにまでコミュニティが成熟していないという意味だ。Rubyで生計を立てている人が沢山いてRubyというプロダクトの周辺には十分なエコ
DebianのRubyパッケージメンテナ辞任で騒動に：Rails Hub情報局：エンジニアライフ
Debian GNU/LinuxのRuby関連パッケージのメンテナだったフランス人のLucas Nussbaumさんが、Rubyパッケージの作成・管理に関わるのをやめると宣言しました。その理由を、やや感情的にブログに列挙したことをキッカケに、日本語・英語のコミュニケーションギャップの問題、OS（ディストリビューション）とRubyなどの言語処理系のパッケージシステムの不調和の問題、コミュニティ運営の成熟度など、さまざまな議論が巻き起こっています。 多くの論点を含みつつ議論が展開 念のために先に指摘しますが、Debian上（Ubuntuでも同様）のRubyパッケージの今後については、Lucasさんのほかに、まだ2人、やまだあきらさんと、森脇大悟さんが関わっているので（リンク）、今回の騒動によってRubyパッケージがDebian上でメンテナンスされなくなったり、将来が不安だということはないと思い
DebianのRubyパッケージ管理者辞退に対する反応 - karasuyamatenguの日記
Matzの元記事への返答の日本語訳 http://d.hatena.ne.jp/yayugu/20110103/1294033012 ルビーに詳しい方の訳なので、元記事(http://www.lucas-nussbaum.net/blog/?p=617)の要点も臨場感がある。 HNの反応 元記事からリンクされたこのスレッド(http://www.ruby-forum.com/topic/785744#971922)のMatzのコメントがHNに上った。 http://news.ycombinator.com/item?id=2063203 ルビーのよる開発に適したlinuxのディストロは何かという問いに対して色々な答がある。その中にMatzが「Debian sid使っているけど問題ないよ」とコメントを残している。これに対するHNの反応： Rubyで実装されているツールを使いたい普通のユーザは
Matzのコメント: DebianのRubyパッケージ管理者をやめちゃった方への - 方向
DebianのRubyパッケージの管理者をやめちゃった方のBlogが何かと話題になっています。主にRubyコミュニティへの不満、特に日本語偏重への不満が溜まっていたようです。 http://www.lucas-nussbaum.net/blog/?p=617 http://d.hatena.ne.jp/karasuyamatengu/20110103/1294014752（和訳・要約） その記事にMatzがコメントしていたので訳してみました。 Although I respect your decision, I think some of your problems could have been improved (or resolved) by communication. Maintaining software is a series of compromise between
DebianのRubyパッケージ管理者が辞めてしまった理由 - karasuyamatenguの日記
RubyのDebianパッケージを管理しているLucas Nussbaum氏が辞める意思を表明した。 http://www.lucas-nussbaum.net/blog/?p=617 Nussbaum氏のルビーコミュニティーに対する批判・懇願を残している。最初の二つは(コアとリリース)は日本の開発陣に対して、それ移行は英語ベースのルビーコミュニティーに対しての意見だと思う。以下、Nussbaum氏の意見を要約。 ルビーコア開発コミュニティー 開発メールリストは日本語でなく英語主体のruby-core@に移行すべきだ。 リリース管理 ruby_1_8 (106 commits over the last six months) ruby_1_8_6 (4 commits over the last six months) ruby_1_8_7 (35 commits over the la
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
