Anonymous Coward曰く、

Amazon Web ServicesがSQLと互換性のあるデータクエリ言語「PartiQL」を発表した（Publickey）。

KVSやJSONでも使えるというのは便利そうである。SQL界隈の地殻変動となるか？

構文はSQLをベースにしているが、さまざまなデータソースに対応し、JSONのような構造化データも扱えるのが特徴。仕様はGitHubで公開されている。

Slackは18日、2015年3月に発生したセキュリティインシデントに関連して新たな情報が得られたとして、全アカウントの約1％でパスワードをリセットすることを発表した(The Official Slack Blogの記事、 HackReadの記事、 The Registerの記事、 ZDNetの記事)。

2015年3月のインシデントは、ハッシュされたパスワードを含むSlackユーザーの情報を格納したデータベースが不正にアクセスされ、攻撃者はSlackのWebサイトでログインする際に入力したパスワードを平文で取得するコードを挿入(当時の発表には記載なし)していたというものだ。

今回、報奨金プログラムを通じてSlackの認証情報侵害の可能性が指摘されたが、当初はマルウェア攻撃やパスワードの再利用によるものだと考えられていた。しかし調査を進めた結果、侵害された認証情報の多くが2015年のインシデント発生中にSlackにログインしたアカウントのものだと判明したという。

パスワードリセットの対象となるのは、2015年3月以前に作成されたアカウントであり、それ以来パスワードを変更しておらず、シングルサインオンの使用が必須になっていないアカウントとのこと。ただし、1%といってもSlackのユーザー数は1,000万人にのぼることから、10万人程度が影響を受けるとみられている。

6月7日に大阪市のシステムで障害が発生するトラブルがあったが（過去記事）、このトラブルの発端は同システムが採用していたOracle Databaseのシステムファイル破損だったと日経xTECHが報じている。

データベースはOracleのデータベースクラスタ技術「Oracle Real Application Clusters」を使って2重化されていたが、2ノードが稼働していたデータベースサーバーがほぼ同時に停止。調査を行ったところ、同じシステムファイルが破損していたことが分かったという。システムファイルを復旧させたところ、データベースは復旧したそうだ。

同じシステムファイルがなぜほぼ同時に破損したかは不明だという。

あるAnonymous Coward曰く、

英歳入税関庁（HMRC）は2017年から音声認識によるユーザー認証システムを導入しているが、このシステムで記録・使用されていた納税者500万人分の音声データを削除するという。削除の理由は、EU域内で2018年5月25日から適用されているGDPR（EU一般データ保護規則）に違反すると判断されたため。

このシステムでは利用者に音声を登録してもらうことで、利用者の声をパスワード代わりに利用できるというもの。歳入関税庁への問い合わせ効率を高めるために導入されたが、利用者に対しては登録した音声をどのように利用するかの十分な説明がなく、また音声の登録は拒否できず、登録した情報の削除もできない点がGDPR違反になるとしている（Netsecurity、BBC、Register）。

札幌市の電算システムで1月4日に不具合が発生し、住民票や印鑑証明などの発行ができなくなるという事態になっていた（日経新聞、北海道新聞、共同通信）。障害は4日午後に復旧、5日以降は正常に稼働している。

障害の発端は12月29日および30日に行われたハードウェアおよびソフトウェアの入れ替えとのこと。導入されたデータベースソフトウェアには過負荷時に自動的に負荷を抑える機能があり、この機能が誤って作動したのが原因とみられている。この機能を無効にするよう設定して起動することでシステムが復旧したという。

12月7日、ソフトバンクの携帯電話網で大規模かつ長時間にわたる通信障害が発生した（過去記事）。この影響で、障害発生後4〜5日間で1万件ほどの解約があったという（ITmedia）。

なお、ソフトバンクの2018年9月時点での契約者数は4043万8100件となっている（電気通信事業者協会の発表）。

また、今回の障害で社会に大きな影響が出たことを受けて、ソフトバンクの宮川潤一副社長は「災害や大規模障害の発生に備え、通信事業者間で通信回線を間借りするローミング接続の導入を検討する時期に入ったのではないか」とも話している。

headless曰く、

Tencentは5日、中国国内で同社のゲームをプレイする全ユーザーに対し、公安データベースを使用した本人確認および未成年に対するプレイ時間制限を義務付ける計画を明らかにした（Tencentの発表、South China Morning Post、The Verge、VentureBeat）。

Tencentでは未成年者の健康維持のため、2億人がプレイしているという人気モバイルゲーム「王者荣耀」のプレイ時間制限を2017年から実施している。本人確認は未成年者の保護を強化するためだといい、9月には新規ユーザーの本人確認を義務付け、10月には北京をはじめ9都市でユーザー全員の本人確認を開始した。11月1日以降は対象を中国全土に拡大し、11月末までに全ユーザーの確認を完了する計画とのこと。

対象ゲームの拡大は王者荣耀での試みが順調に進んでいるからのようで、年内に人気ゲーム9本への導入を完了し、2019年には他のモバイルゲームおよびPCゲームに拡大する。なお、制限時間は12歳以下が1日1時間まで（21:00～8:00はプレイ禁止）、13歳以上18歳未満が1日2時間までで、制限時間を超えると強制ログアウトになるとのことだ。

あるAnonymous Coward曰く、

オープンソースのドキュメント指向データベース「MongoDB」がライセンスを独自の「Server Side Public License（SSPL）」に変更する。大手クラウド事業者がMongoDBを利用しているにも関わらず、プロジェクトにほとんど貢献していないという現状を受けてのライセンス変更となる（MongoDBの発表、OSDN Magazine、TechCrunch、Slashdot）。

先日のRedisと似たような話だが、こちらはAGPLをさらに厳しくした新OSSライセンスを作って対抗するようである。

SSPLはAGPLをベースとするが、機能を追加したり修正を行ったMongoDBをサービスとして提供する場合にもソースコードの公開を求める条項が追加されている。

taraiok曰く、

フィットネス関連サービスを提供している米FitMetrixが、パスワードなしで顧客情報を管理するサーバーを運用していたためにユーザー情報が大量に漏洩する事態になったという（The Tribune、TechCrunch、Hacken.io、Slashdot）。

漏洩したデータは数百万件にも上るようだ。同社は同社は心拍数やその他のフィットネスメトリック情報を表示するフィットネス追跡ソフトウェアを開発している企業。今年の初めにスポーツ関連サービスの予約・決済・スタッフ管理・顧客管理などを行う大手企業Mindbodyにより1530万ドルで買収されている。

10月5日にこのことを発見したセキュリティ研究者は、FitMetrixの3つのサーバーで顧客データが漏れていることを発見した。どのくらいの期間、サーバーが公開されたのかは不明だが、9月にIoT検索エンジンであるShodanにデータが登録されていたことが判明しているという。発見者であるHacken.ioのサイバーリスク研究担当ディレクターのBob Diachenko氏によると、1億1,350万のデータベースを発見した。

直接影響を受けるユーザー数は不明。各レコードにすべてにユーザーデータが含まれているわけではないものの、名前、電子メール、誕生日、電話番号、緊急連絡先、身長、体重、靴のサイズなどの情報が部分的に含まれていたとしている。Mindbodyの最高情報セキュリティ責任者Jason Loomisは、木曜日の電子メールで、リスクを認識しており、「この脆弱性を解消するための即時の対策」を講じたと述べている。

MicrosoftのJETデータベースエンジンで発見されたゼロデイ脆弱性をZero Day Initiative(ZDI)が公表した(ZDIのブログ記事、 アドバイザリー、 Softpediaの記事、 The Registerの記事)。

この脆弱性はJETデータベースエンジンのインデックス管理機能に存在する境界外書き込みの脆弱性で、現在のユーザーの権限でリモートからのコード実行が可能になるというもの。攻撃者は細工したデータを含むJETデータベース形式のファイルをOLEDB経由で開かせることで、脆弱性を悪用できる。ZDIはWindows 7で脆弱性を確認しているが、現在サポートされるすべてのWindowsバージョンに影響すると考えているそうだ。

ZDIは5月8日、この脆弱性をJETデータベースエンジンの他の脆弱性2件とともにMicrosoftへ報告。他2件は9月の月例更新で修正されている。しかし、この脆弱性に関しては修正版で問題が見つかったため、9月の月例更新には含めないとMicrosoftがZDIに連絡してきたという。この時点でZDIの公表期限120日を過ぎており、ゼロデイになる可能性をMicrosoftに伝えたが、Microsoftが今月はパッチをリリースしないと明言したため、事前に公表日を通知したうえで20日に公表したとのことだ。

あるAnonymous Coward曰く、

AWSやAzureでマネージドサービスも提供されるなどNoSQLサーバーとして広く使われている「Redis」だが、開発元のRedis Labsは22日、これまでAGPLで提供していた同社開発の拡張モジュールを、今後はクラウド事業者による商用利用に制限のかかるCommons Clause条項付きのApache 2.0ライセンスに移行することを発表した（プレスリリース、OSDN Magazine、ZDNet、Register）。

移行の対象となるのは「RediSearch」「Redis Graph」「ReJSON」「Redis-ML」「Rebloom」などの拡張モジュールで、コア部分には引き続きBSDライセンスが採用される。Redis Labsでは変更の理由として「クラウド事業者はほとんどこれらのオープンソースプロジェクトに貢献していない」と述べており、クラウド事業者によるフリーライドに耐えかねた事を吐露している。Redis Labsは自身でもRedisのマネージドサービスを提供しており、こうした競合他社に圧迫されていることが伺える。

なお、商用利用に制限がかかる事から新ライセンスはOSSライセンスとは適合しなくなっている。これに対して、OSS界隈では反発の声もあるようだ。

あるAnonymous Coward曰く、

英国では日本のドライブレコーダーに相当する「Dashcam（ダッシュ・カム）」が普及しつつあるそうだ。さらにイングランドとウェールズでは、警察に危険運転などの映像を証拠として直接アップロードできる仕組みが用意されているという。このシステムは、ダッシュカームメーカーである「Nextbase」が用意したプラットフォームがそのまま使われている。

ドライバーはアップロード時に、イングランドもしくはウェールズの地域を選択、道路上の事故や違法行為の映像を直接地元の警察に送付。裁判所で使用できる証人陳述書も提出できるとしている。West Mercia警察の署長は、以前は何時間もかかっていたプロセスを数分に圧縮でき、運転手だけでなく警察にもメリットがある仕組みだとしている（ROAD SHOW、Slashdot）。

ニコニコ動画などで5月30日から6月10日にかけて複数の障害が発生したとのことで、その原因と対応が公開されている。

5月30日に発生したトラブルは、特定のユーザーが過剰にユーザーフォロー操作を行ったためにデータベースが過負荷状態になり、フォロー関係の操作が行えなくなるというもの。こちらについては対策として、フォロー操作を行うAPIにアクセス制限機能を追加するなどが挙げられている。

また、5月31日にはニコニコ生放送でシステムアップデートが原因でキャッシュが有効にならないトラブルが発生、この修正を行うために一部の内部システムを停止させた結果データ不整合が発生し、タイムシフト録画やPlaystation Vitaアプリでの生放送視聴などができない問題が発生していたとのこと。

ニコニコ生放送では6月2日から5日にかけても生放送の配信ページを開けなかったり、配信が行えないトラブルが発生していた。こちらはデータベースが負荷に耐えられずにダウンしたことや、フェイルオーバー設定やデータベース接続設定のミスが原因だったという。

ニコニコ生放送で発生した2つの障害はどちらも障害の対応が結果的に悪影響となったという経緯で興味深い。

あるAnonymous Coward曰く、

MariaDB Foundationが5月27日、MariaDB 10.3系で初のstable版となるMariaDB 10.3.7のリリースを発表している（Publickey）。

MariaDB 10.3では新機能はとしてOracle Database互換機能がうたわれており（Changes & Improvements in MariaDB 10.3）、Oracle DB独自の関数や型がサポートされたほか、Oracle DB独自のストアドプロシージャ言語PL/SQLも実行可能となっている。

MariaDBは歴史的経緯からOracleとは対立関係にあるのだろうが、これは訴訟とか大丈夫なのだろうか？　ちょっと心配である。

あるAnonymous Coward 曰く、

22日10時から11時ごろ、人気ゲーム「艦隊これくしょん」（艦これ）の公式Twitterアカウント（艦これ開発・運営）のアカウントが凍結された（Togetterまとめ、ハフィントンポスト）。

Twitterではアイコンの著作権者を名乗って削除を要求したり、投稿しているコンテンツが違法なものだと主張するなどの手口で不正に通報を行って自動的にアカウントを凍結させる行為が横行している。

Twitterの苦情処理はほぼ自動化されており、攻撃者が同様の通報を繰り返すことで、被害者の行動と関係なく、意図を持って繰り返し不正行為を行ったと認識させられるといわれる。日本の支社は実際の運営業務に触れる権限を持たず、サンフランシスコ本社が直接運営するTwitterでの日本語圏への注力は年々減っているのが実情だ。

艦これ運営によると、凍結されたアカウントで使用されていたアイコン画像について、偽名等の第三者から「自身が描いたものだ」との虚偽通告が行われ、その結果著作権侵害ということでアカウント凍結が行われたという。

また、DMCAによる申し立て情報のデータベースを確認すると、「https://twitter.com/KanColle_STAFF」に対し複数のDMCA Takedown Noticeが行われていることが確認できる。

また、艦これ公式だけでなく、艦これの開発を行っている角川ゲームスや角川ゲームス社長のアカウントも凍結されている模様。