タグ: オープンソース
- テクノロジー
圧縮ソフト「Brotli」に深刻な欠陥 米政府が悪用を確認、Node.jsなどに影響
米グーグルが開発するデータ圧縮ソフト「Brotli」のC言語版に、細工した圧縮データを展開させると任意のプログラムを実行されるおそれのある欠陥が見つかった。グーグルは10月21日に修正版を公開し、JPCERT/CCは26日に注意喚起を出した。米CISAは27日、悪用が確認された脆弱性の目録に加えた。Node.jsやPython向けの部品も影響を受ける。
- テクノロジー
車載通信ソフト「vsomeip」に欠陥 短い通信1つで最大約4GBのメモリーを確保させられる
脆弱性対策情報ポータルJVNは10月27日、車の電子制御ユニット間の通信などに使われるオープンソースソフト「vsomeip」に、過剰なメモリー割り当ての脆弱性があると公表した。初期設定のままだと、認証の無い相手が短い通信を1つ送るだけで最大約4GBのメモリーを確保させられ、サービスが止まるおそれがある。対象は3.7.3以前で、7月6日公開の3.7.4で修正済み。
- テクノロジー
ウェブメール「Roundcube」に欠陥20件 更新版1.6.20と1.7.5を公開
オープンソースのウェブメールソフト「Roundcube Webmail」の開発元は10月19日、20件のセキュリティ上の欠陥を修正した更新版1.6.20と1.7.5を公開した。メールサーバーへの不正な命令の挿入やメールヘッダーの改ざん、外部画像の読み込み防止機能のすり抜けなどを直した。開発元は1.6系と1.7系を使うすべての環境に更新を強く勧めている。JPCERT/CCも10月28日の週報で取り上げた。
- テクノロジー
社内wiki「GROWI」に欠陥3件 閲覧権限のないページを読まれるおそれ v8.0.7で修正
脆弱性対策情報ポータルJVNは10月27日、オープンソースのwikiソフト「GROWI」に3件の脆弱性があると公表した。ログインできる利用者が閲覧権限のないページの本文やコメントを取得したり、閲覧のみの利用者が下書きを書き換えたりできるおそれがある。対象はv8.0.6以前で、開発元の株式会社GROWIはv8.0.7への更新を求めている。3件のうち2件には回避策が無い。
- AI
政府職員18万人の生成AI「源内」、10月ごろAIエージェント環境を導入へ 職員の業務手順を「スキル」にして省庁横断で共有 政府全体で1万〜数万件と見積もり
デジタル庁は9月18日、政府職員向けの生成AI利用環境「ガバメントAI 源内」について、8月25日に開いた全国オンライン説明会の配付資料と質疑応答を公表した。資料によると、源内には今年10月ごろ、職員が自分の業務に合わせてAIエージェントを作って動かせる環境を導入する予定で、その機能を含むオープンソース版「Ver 2.0」を2027年2月ごろに公開する方針だ。導入するのは、複数の作業をまとめて実行する「エージェントチャット」と、個人専用のコーディングAI環境「源内工房」の2種類。職員が属人的に抱えてきた業務手順や判断基準を「スキル」として書き出し、「源内マーケットプレイス」で省庁の枠を越えて共有する構想も示した。資料は、法律の総数約2,100件と中央省庁の課長・室長約4,000人を前提に、政府全体のスキルは1万から数万件の規模になると見積もっている。源内は2026年5月から全府省庁の政府職員約18万人による大規模実証に入っており、使う大規模言語モデルはNTTデータやソフトバンクなど国産5社と契約済みだ。
- テクノロジー
災害時の所在把握へ、国がQRコード「チェックイン」の標準仕様を公表 能登の実証は登録8450人、市町の費用負担は共同調達で8％に
経済産業省と情報処理推進機構（IPA）、新エネルギー・産業技術総合開発機構（NEDO）は9月16日、災害時に避難所の外にいる住民の所在をつかむ「チェックインシステム」について、自治体向けの導入ガイドラインと標準仕様書の案を公表した。10月19日まで意見を募る。能登半島地震で避難所外避難者の把握に大きな負担が生じた反省を踏まえ、平時から住民が使う仕組みをそのまま非常時に転用する設計を示した。石川県が能登6市町で実証した「のとピッと」は2026年6月末時点で8450人が登録し、1日あたりの平均チェックイン回数は2.02回。県と市町の共同調達により1市町あたりの費用負担を総額の8％程度に抑えた例も示している。