パスワードを忘れた? アカウント作成

Idle.srad.jpは、あなたの人生において完全な時間の浪費です。見るなよ、見るなよ。

15657402 story
OS

米Red Hat、「Red Hat Enterprise Linux 9」をリリース 29

ストーリー by nagazou
リリース 部門より
あるAnonymous Coward 曰く、

5月11日にRed Hat Enterprise Linux 9が正式発表、18日にリリースされた(Red Hat Customer Portalクラウド Watch)。
主にセキュリティ強化とエッジ向けの機能を強化しており、SELinuxの強制有効化やSHA-1の無効化、OpenSSL 3への対応の一方で管理、運用面では大きな変更はないようだ。>ISOのダウンロードが可能になっているがSSHのrootパスワードログインがデフォルトで無効化になっており、新規インストール時は注意。

15620412 story
OS

「AlmaLinux OS」がWSLで使用可能に。Microsoft Storeからインストールも可 10

ストーリー by nagazou
WSL 部門より
CentOSの代替として登場したLinuxディストリビューション「AlmaLinux」が4月1日、Windows Subsystem for Linux(WSL)で使用できるようになったそうだ。WSLが有効になっているWindows 10/11環境ではMicrosoft Storeからインストール可能となっている。AlmaLinuxは永久に無償利用できることなどを売りとしている商用Linuxディストリビューション。「Red Hat Enterprise Linux」(RHEL)とバイナリレベルで完全な互換性を持つとしている(TECH+窓の杜)。
15604974 story
バグ

RHEL9からSELinuxの無効化の仕様が変更される 42

ストーリー by nagazou
変更 部門より
あるAnonymous Coward 曰く、

日本のSier業界では除け者にされているSELinuxであるが、絶対SELinux無効にするなの人のブログによるとRHEL9におけるSELinuxが変更されるそうだ(security.sios.com)。/etc/selinux/configのSELINUX=enforcingをdisabledにして再起動を行うとブート中にシステムがハングアップするとのこと。対策としてはbootパラメータで"selinux=0"をつけると回避はできるが、RedHat側としては推奨していない。

業務影響のリスクでセキュリティパッチをあてることはNGとされていたのが近年見直されたように(今でもご法度のところはいるが)いずれSELinuxの無効化も許されなくなる時代になるのかもしれない。

15593456 story
OS

Linuxカーネルに特権昇格の脆弱性「Dirty Pipe」が報告される 17

ストーリー by nagazou
報告 部門より
gf1e 曰く、

LinuxカーネルでDirty Pipe (CVE-2022-0847)という脆弱性が報告・修正されている。これを悪用すると、読み出し専用のファイルのページキャッシュにデータを書き込むことができてしまうとのこと。

Red Hatは7日、inuxカーネルに特権昇格につながる脆弱性「CVE-2022-0847」が存在すると発表した。脆弱性が存在するのはLinuxカーネル 5.8以降のバージョンで、すでに脆弱性が修正されているのは、Linux 5.16.11、Linux 5.15.25、Linux 5.10.102であるという。深刻度はCVSSv3スコア7.8で「重要」と分析されているため、早期のアップデートが推奨されている(TECH+)。

15554043 story
バグ

Polkit に 12 年前の最初のバージョンから存在した脆弱性「Pwnkit」 35

ストーリー by headless
境界 部門より
主な Linux ディストリビューションに標準でインストールされるツールキット Polkit (旧名: PolicyKit) の最初のバージョン (12 年前) から存在したメモリ破損の脆弱性 (CVE-2021-4034) について、発見した Qualys が解説している (Qualys Security Blog の記事Red Hat のアドバイザリーNeowin の記事Ars Technica の記事)。

Qualys が Pwnkit と名付けた脆弱性は非特権ユーザーがrootの権限でコマンドを実行できるようにする Polkit の コマンドラインツール pkexec に存在する。pkexec の main() 関数ではコマンドライン引数の数 (argc) を適切に処理せず、常に 1 以上として扱うため、引数リスト (argv) が空の状態でも境界外のメモリを引数 (argv[1]) として読み書きしてしまう。

境界外の直近にあるのは 1 つ目の環境変数 (envp[0]) であり、pkexec は読み取った値を実行ファイルの名前として PATH 環境変数で指定されたディレクトリを探し、一致する実行ファイルが見つかったらパスを付加して envp[0] を上書きする。これにより、通常は main() 関数実行前に除去される「安全でない」変数を pkexec の環境に再導入することが可能であり、悪用することでローカルでの権限昇格が可能になる。

Polkit では argc が 1 未満の場合に処理を終了する修正を行っており、修正済みの Polkit パッケージが入手可能になり次第更新することが推奨される。
15543458 story
アメリカ合衆国

log4j問題等を受け、米政府がGAFAやApacheらを集めたOSSセキュリティサミットを開催 60

ストーリー by nagazou
開催 部門より
米バイデン政権は13日、昨年末にApache Log4j 2で見つかった深刻な脆弱性問題を受け、大手IT企業に加えてGitHubなどオープンソースソフトウェア(OSS)組織のトップを招いてセキュリティ会議を開催したという(ITmediaZDNetEngadget)。

企業から参加したのはAkamai、Amazon、Apache Software Foundation、Apple、Cloudflare、Meta(旧Facebook)、GitHub、Google、IBM、Linux Foundation、Open Source Security Foundation、Microsoft、Oracle、RedHat、VMWareの各社。米政府側からも、科学技術政策局や国防総省、商務省、エネルギー省、国土安全保障省、CISA、国立標準技術研究所、国立科学財団などが参加した。

会議では国の安全保障システムにも多くのOSSコードが採用されているが、そうした重要なコードのセキュリティを維持する共通の仕組みは存在していない。IT業界と政府が協力して、道路や橋といった社会インフラのように重要なOSSプロジェクトを支援すべきであり、セキュリティ会議ではそうした作業を行う方法に関する意見共有が図られたとしている。
15445795 story
IBM

IBMが全従業員にCOVID-19ワクチン接種を義務化、未接種なら無給の停職処分に 130

ストーリー by nagazou
義務化 部門より
あるAnonymous Coward 曰く、

コンピュータ大手のIBMは7日、全米の従業員に対して、2021年12月8日までに新型コロナワクチンを完全接種することを義務付けたことを発表した。医学的あるいは宗教的な理由なしで12月8日までに接種完了証明書を会社に提出できなかった従業員は、無給の停職処分となる(日経新聞GIGAZINE)。

米国では9月9日にバイデン大統領が、従業員100人以上からなる大企業や連邦行政機関の従業員・職員に新型コロナワクチン接種完了証明書あるいは週1回の感染検査結果を提出することを義務化する計画を発表している。IBMも「連邦請負業者として、IBMはバイデン大統領のワクチン接種義務を順守することはビジネス上不可欠です」とこの政府発表に従ったものだとコメントしているという。また、IBMの子会社であるRed Hatも従業員と請負業者に対して同様の通達を行っているとのこと。

15425981 story
Linux

MIRACLE LINUX 8.4が10月4日から無償提供、有償サポートサービスも提供 29

ストーリー by nagazou
代替 部門より
サイバートラストは16日、国産Linux OS「MIRACLE LINUX 8.4」を10月4日から提供開始すると発表した。RHELクローンのCentOS開発終了を受け、従来は有償提供となっていたMIRACLE LINUXを8.4からライセンスフリーとして公開することを決めたとしている。MIRACLE LINUX 8.4は、Red Hat Enterprise Linux(RHEL)8.4 をベースに開発されたもので、CentOS 8からの移行ツールが用意されている。これによりインストールをやり直すことなくMIRACLE LINUXに移行できるとしている。RHEL 8.4のクローンであることから、CentOS 8ソフトウェアの構成と合わせて同等の運用が可能になるとしている(サイバートラストリリースPC Watch)。

有償サポートサービスについても行われる。障害解析や技術問合せ対応のほか、CentOSからの移行に関するQ&A対応のほか、CentOSを利用する企業向けの個別提案、数千台規模のサーバー全体の保守・サポート向けの個別メニューを提供するとしている。
15329906 story
レッドハット

CentOS代替となるRocky Linux 8.4、一般提供が開始される 47

ストーリー by nagazou
開始 部門より
Rocky Enterprise Software Foundation(RESF)は21日、「Rocky Linux 8.4」の一般提供(GA)を開始した。Rocky Linuxは過去記事でも触れているように、新規開発が告知されているCentOSの代替となるプロジェクトとして、CentOSの共同創設者であるGregory Kurtzer氏によって立ち上げられた。Rocky Linux8.4はRedHat Enterprise Linux(RHEL) 8.4とバイナリ互換となっており、RHEL専用に設計およびテストされたアプリを実行可能となっている(リリースRocky Linux日本語公式Ars TechnicaZDNetGIGAZINE)。
15313225 story
セキュリティ

Linuxでプロセスの権限を設定するpolkit、7年以上前から存在した特権昇格の脆弱性が見つかる 38

ストーリー by headless
時間差 部門より
多くのLinuxディストリビューションに標準でインストールされるシステムサービス「polkit」に7年以上前から存在していた特権昇格の脆弱性が修正された(The GitHub Blogの記事The Registerの記事Computingの記事CVE-2021-3560)。

polkitは非特権プロセスが特権プロセスと通信するためのポリシーを定義し、認証処理を行うツールキットだ。systemdがpolkitを使用するため、systemdを使用するLinuxディストリビューションはpolkitも使用することになる。今回発見された脆弱性は、polkitが認証処理を行っている最中にリクエスト元のプロセスを終了させることで、rootプロセスからのリクエストとして認証してしまうというものだ。

この脆弱性が導入されたのは2013年11月のコミット(バージョン0.113)だが、メジャーなLinuxディストリビューションの多くに脆弱性のあるpolkitが含まれるようになったのはずっと最近のことのようだ。

Fadoraの場合は2014年12月リリースFedora 21に脆弱性のあるpolkitが含まれているが、Red Hat Enterprise Linux(RHEL)が脆弱性を含むFedora 28ベースになったのは2019年5月リリースRHEL 8となる。Debianはpolkitのフォークを使用しているが、脆弱性のあるバージョンを含む安定版はリリースされておらず、現在テスト中の次期リリースDebian 11 「Bullseye」にのみ脆弱性のあるバージョンが含まれる。一方、DebianベースのUbuntuは昨年4月リリースのUbuntu 20.04以降に脆弱性が含まれるとのこと。いずれの場合も、脆弱性は最新版で修正されている。
15275373 story
Linux

Vine Linuxの現状は?(追記: リリース版終了が宣言される) 125

ストーリー by headless
終了 部門より
あるAnonymous Coward 曰く、

Vine LinuxはWebサイトもメーリングリストも残ってるけど、正式な解散宣言もなくフェードアウトしていった模様(vine-usersメーリングリスト投稿)。

太古のRedHat/Slackware日本語化プロジェクト(JE)→その後継(PJE)が終了後、RedHatやってた人がVine、SlackwareがPlamoになった記憶。

Vineは昔、ちょっと世話になりましたっけ。当時としては簡単にインストールでき、GUIもサウンドもネットワークもすっとできた。ifconfig の出力結果も一部日本語化してたり、北の果てにある大学で導入されてたり。

ちなみに隣のPlamo Linuxは地味に元気だったりする。

2019年5月20日にはプロジェクト代表の鈴木氏がサーバー移転をアナウンスしたが3週間近く復旧しなかったようで、メインテナーの井上氏が復旧予定を質問しているが回答なし。さらに2か月後に井上氏がプロジェクト活動停止ではないかとコメントしたが、反応はなかった。2020年には井上氏荒氏がメインテナー離脱を宣言しているが、現在も開発メンバーのリストには掲載されたままになっており、リストも更新されていないようだ。

追記 5月4日23時50分: 鈴木氏がVine Linuxリリース版の終了を宣言した。VineSeedについては参加者が非常に少ないものの開発は継続しており、主体的に開発に参加している人がいる限り閉じることはないとのこと。

15249025 story
EFF

FSF運営チーム、執行役員をはじめ3名が辞任へ 78

ストーリー by headless
辞任 部門より
FSF執行役員のJohn Sullivan氏をはじめ、FSF運営チームのメンバー3名が辞任することが発表された(FSFのブログ記事The Registerの記事)。

辞任するのはSullivan氏のほか、副執行役員のJohn Hsieh氏とCTOのRuben Rodriquez氏。辞任の日付は未定となっており、Sullivan氏のツイートによれば新メンバーへの移行が完了するまで現職を務めるとのこと。現在、FSFスタッフ・理事のリストでは3氏の肩書に「Outgoing」と付記されている。

辞任の理由は一切説明されていないが、RMSことRichard M. Stallman氏の理事職復帰に関連するとみられる。Sillivan氏はStallman氏復帰について表立った見解を示していないようだが、FSF公式Twitterアカウントが投稿した「LibrePlanet関係者や出演者、出展者、スポンサーはStallman氏の復帰について一般発表されるまで知らなかった」とするツイートをリツイートしていた。

これに先立ってFSF理事職を辞任したKat Walsh氏は、Stallman氏の復帰に反対票を投じたと述べている。一方、FSFではWalsh氏に代わってIan Kelling氏が理事に就任したことを発表するブログ記事をはじめ、Stallman氏がLibrePlanetでFSF理事復帰を発表した3月21日以降のブログ記事でStallman氏に言及するものはない。

Stallman氏は2019年、未成年者との性行為を容認するような発言で批判を受け、FSFプレジデントおよび理事職を辞任した。Stallman氏の復帰にはフリーソフトウェア界が強く反発しており、4月3日夕方の時点でFSF理事全員の解任を求める公開書状に署名した組織は60を超え、署名した個人は3,000人を超えている。公開書状に署名していないEFFRed HatなどもStallman氏復帰に反対しており、Red HatはFSFおよびFSFがかかわるイベントへの資金提供を取りやめると発表している。
15227927 story
暗号

Linux Foundation、無料のソフトウェア署名サービス「sigstore」を発表 12

ストーリー by nagazou
発表 部門より
headless 曰く、

Linux Foundationは9日、無料のソフトウェア署名サービス「sigstore」を発表した( プレスリリースBetaNewsの記事Neowinの記事The Registerの記事)。

リリースするソフトウェアにデジタル署名する場合、鍵の管理や侵害発生時の失効処理、安全な公開鍵とハッシュの配布などに困難が伴うため、実行しているオープンソースプロジェクトは非常に少ない。sigstoreはすべてのソフトウェア開発者やソフトウェアプロバイダーが無料で容易に導入可能な署名サービスを提供し、サプライチェーンの安全性を高めるため、Red HatやGoogle、パデュー大学が中心となって設立された。sigstoreはコミュニティにより開発され、証明書を耐タンパー性のある公開ログに記録することで、ソフトウェア成果物への署名を安全に行うことが可能となる。

15114355 story
レッドハット

レッドハットがCentOSでの批判を受け、開発・小規模本番ワークロード向けの無償RHELを用意 80

ストーリー by nagazou
対策しました 部門より
12月末にRed Hat「CentOS」の位置付けを突如変更し、CentOS 8を2021年12月31日に開発終了することを発表した。このCentOS 8の廃止は2029年まで利用可能になると考えていた中小企業ユーザーを中心に失望を引き起こし、Red Hatに対して強い批判が起きていたようだ(Red HatArs TechnicaZDNet Japan)。

このため同社は1月20日にその対策として、小規模本番ワークロード向けと顧客の開発チーム向けという2種類の無償RHELを用意すると発表した。小規模本番ワークロード向けでは、Red Hat Developerプログラムの条件を拡張、最大16システム以下の「小規模」本番環境で運用できるとしている。顧客開発チーム向けの無料RHELでは、AWS、Google Cloud Platform、Microsoft Azureといった有名なクラウドプロバイダー上でRHELを利用できるそうだ。これらは2021年2月1日から利用できるとしている。
15019049 story
ソフトウェア

CentOSに代わる新しいRHELフォーク「Rocky Linux」と「Project Lenix」 31

ストーリー by nagazou
代替 部門より
先日、新規開発終了の告知のあったCentOSだが、突然の路線変更はSNS上やコミュニティから強い批判が出た。これにともなって代替となるプロジェクトが立ち上がり始めている。

CentOSプロジェクトの共同創設者であるGregory Kurtzer氏が立ち上げたのが、Red Hat Enterprise Linux(RHEL)ベースのLinuxディストリビューション「Rocky Linux」プロジェクト。名前はCentOSの共同創設者で故人であるRocky McGough氏から名前を取ったとしている(GIGAZINETOOLinuxZDNet)。

CentOSをベースにした「CloudLinux OS」の開発元であるCloudLinuxも「CentOS」の代替を目的としたプロジェクトを開始した。RHELのフォークを開発する「Project Lenix」がそれで、CloudLinuxは、このプロジェクトに年間100万ドルを投じると発表している(ZDNet)。
typodupeerror

犯人はmoriwaka -- Anonymous Coward

読み込み中...