The following is a draft chapter for the upcoming "The Performance of Open Source Applications" (POSA), a sequel to The Architecture of Open Source Applications. POSA is a collection of essays about performance optimization, designing for performance, managing performance as part of a development process, and more. The book will be published in Spring 2013 under a Creative Commons license with roy

「「UPnP（libupnp）に脆弱性・WANから攻撃可能」という話の中身を調査してみた」とう記事を書きました。ここでは、ニュースで騒がれている脆弱性は、「WAN側にUPnPのサービスを公開しなければ防げる」という話になりました。しかし、実は今回のニュース以前から、「WAN側にUPnPのサービスを公開していなくてもUPnPを悪用される危険性がある」脆弱性が指摘されていました。つまり、「WAN側のUPnPのサービスを公開しないようにする」のは今回のニュースの問題（WANからの攻撃）を防ぐためには有効であっても、そもそも別の脆弱性があるため「UPnPを無効にすべき」、なようなのです。しかし、この危険性が公開されたのは2008年1月で丸４年前（そもそも度が高すぎる）。「もしかしたら今は大丈夫かも」という可能性もあるため、追跡調査してみました。 ※謝辞：この脆弱性の存在については @hamano

「UPnPに脆弱性が見つかり、危険だ」というニュースがいろいろなWebサイトに掲載されていますが、例によってまた何言ってるかよく分からない部分が多かったので、調べたことを書いておきます。 目次 1. 概要2. 日本語サイトの情報源3. 「libupnpの脆弱性」は「UPnPパケットを使ったバッファオーバフロー」4. 「WANから攻撃可能」というニュースの意味5. 「WANからのSSDPリクエストを受け付ける」ルーターとは？6. 「libupnp」と「SSDPリクエストを受け付けてしまう脆弱性」の関係について7. 「WANからのSSDPを受け取ること」自体の問題8. 何があったからニュースになった？9. １月２９日にあったこと10. 本当のニュースは「Rapid7のホワイトペーパー」の公開11. ホワイトペーパーの中身12. じゃぁどうして脆弱性情報が出たのか13. 結論：見つかったのは「脆

GenAI is moving to your smartphone, PC and car — here’s why

ハードディスクのストレージベンダとして知られる米シーゲイトが、PCIe接続のサーバサイドフラッシュストレージに参入することを発表しました。 米シーゲイトは、PCIe接続のサーバサイドフラッシュ製品を提供している米Viridentと戦略的提携を締結。同社製品のOEMを受けることで、シーゲイトブランドのPCIe接続型サーバサイドフラッシュストレージの製品展開を行います。 ViridentのFlashMAXIIは、550GBから最大2.2TBのフラッシュメモリを搭載したPCIe接続型のサーバサイドフラッシュストレージ。150万IOPSの性能を提供し、フラッシュに最適化したRAID構成による高信頼性を提供しています。 シーゲイトは今回の提携と同時にViridentに対する投資も実行し、取締役の席をひとつ確保することも合わせて発表しました。 市場の変化の速さに対応するための提携か ハードディスクのス

みなさん、次のようなことができたらいいと思ったことはありませんか？ 「顧客ごとに、適したタイミングと内容で、DMを送信できたら……」 「CGM系サイトへの誹謗中傷なんかのスパム投稿を自動識別できたら……」 「サーバの負荷が高まるタイミングを事前に予測できたら……」 一見するとこれらは実現していることがまったく異なりますが、じつはある共通点があります。それは「データを分析し、その結果を活用している」という点です。 Data is Kingの考えから得られるメリット かつてAmazonに在籍していたRonny Kohaviは「Data is King at Amazon」と言い、データの重要性を説きました。事実、Amazonはユーザの購買履歴から商品のレコメンデーションを行い、ユーザのサイト内の遷移履歴やクリック率からサイト構造の改善を行うなど、データを徹底的に活用していることで知られています

This domain may be for sale!

脆弱性に対処した更新版の「libupnp 1.6.18」が公開されたが、パッチが行き渡るまでには時間がかかる見通し。US-CERTでは、可能であればUPnPを無効にするなどの対策を促している。 ルータなどのネットワーク機器に広く使われている「Universal Plug and Play」（UPnP）に複数の脆弱性が確認された。大手メーカー各社の製品を含む数千万台が影響を受けるとされ、米セキュリティ機関のUS-CERTはメーカーやデベロッパーに対し、アップデートを適用して脆弱性を修正するよう呼び掛けている。 US-CERTが1月29日に公開したセキュリティ情報によれば、UPnPデバイス用のオープンソースポータブルSDKである「libupnp」にバッファオーバーフローの脆弱性が複数存在する。さらに、libupnpを使っているデバイスはWANインタフェース経由でUPnPクエリーを受け入れてしま

Webアプリケーション開発フレームワーク「CakePHP」のコアチームは1月28日、最新版となる「CakePHP 2.3.0」をリリースした。セキュリティやキャッシュなど多数の強化が加わっている。 CakePHPはPHPで書かれた開発フレームワーク。MVC（モデル・ビュー・コントローラ）やモデル構築を容易にするORマッパーなど、現代的なWebアプリケーションフレームワークの機能を多く取り入れており、迅速なアプリケーション開発を支援する。ライセンスはMIT License。 CakePHP 2.3.0は、2012年7月に公開されたバージョン2.2.0以来のメジャーリリースとなる。CakePHP 2.2.5との完全互換を維持し、わずかな変更を加えるだけで2.3にアップグレードできるという。マイグレーションガイドも提供する。PHP 5.2サポートも継続するが、推奨されるPHPのバージョンはPHP

フェイスは2013年1月30日、メジャーレコード会社の楽曲を取り揃え、レコメンド機能を備えたインターネットラジオ 「FaRao(ファラオ)」のサービスを同日に開始したと発表した。 リスナーの音楽に対する趣向を分析して、そのリスナーの好みに合った音楽チャンネルを自動で選曲（レコメンド）する。フェイス独自開発によるレコメンドエンジンと数百項目に渡るアーティスト・楽曲の属性データベースによって、リスナーは楽曲を聴きながら好きか嫌いかのシンプルな操作を繰り返すだけで、「好みに合ったアーティストや楽曲に出会うことができる」という。 楽曲のダウンロードやCD の購入、アーティストや楽曲の検索ができるなどの機能を搭載した。このほかに「ドライブ中に楽しむ」「家族と楽しむ」「寝る前に聴く」「通学・通勤中に聴く」など、様々なシーンにフィットする音楽チャンネルを「マイチャンネル」として五つまで保存できる。次期ア

1月23日、動的言語に向けたバイトコードの実行・コンパイル環境「Parrot 5.0.0」がリリースされた。Perl 6やPythonといったさまざまな動的言語を動作させるために開発されており、Rakudo Star（Perl 6）などで採用されている。 Parrotは当初次期版PerlであるPerl 6向けの実行環境として開発がスタートしたが、現在ではコンピュータが実行する処理を抽象化して実装した仮想マシンとして開発が進められている。現在ParrotはRakudo Star（Perl 6）やLua、winxedといった言語で利用できるという。 Parrot 5.0.0では、細かい機能のブラッシュアップや利便性の向上、バグ修正などが行われている。また、スレッドサポートが有効となっている初めての安定版リリースになるという。 ParrotはParrotのWebサイトなどからダウンロードできるほ

Javaの脆弱性を突く、ファイルを持たないマルウェアに、ロシアのコンピュータが集団感染した。同種の攻撃がロシアだけで発生するとは限らず、Windowsマシンだけが標的になるとも限らない。 関連記事 米Oracleの怠慢を批判――「Javaはアンインストールすべき」 Javaをアンインストールせずにセキュリティを高める方法 仕組みは周知の通りだ。社内のエンドユーザーが感染サイトを閲覧し、知らないうちに最新型のマルウェアをダウンロードする。もしウイルス対策ソフトウェアがそれなりに機能していれば、ダウンロードを阻止するか、少なくともユーザーのHDDにある不正ファイルを検出、隔離してくれる。だがHDDに検出すべきファイルがなかったとしたら？　もしもマルウェアがメモリだけに存在し、まさか破られるとは管理者もウイルス対策ソフトウェアもOSさえも思っていない、信頼すべきプロセスの下で実行されていたとした

Tracをベースとしたプロジェクト管理システム「Apache Bloodhound」開発チームは1月28日、最新版となる「Apache Bloodhound 0.4」をリリースした。 Apache BloodhoundはTrac 1.0をベースとするプロジェクト管理システム。ソフトウェアの開発成果やバグの追跡、レポジトリのブラウズ、プロジェクト統合や情報保存のためのWikiといったソフトウェア開発プロジェクト向け機能を提供する。Trac向けのプラグインを統合することで、複数プロジェクトのサポート、直感的な操作性、容易なインストールといった機能の提供を目指す。Apache Bloodhoundは2012年よりApache Software Foudatioin（ASF）のインキュベータープロジェクトとして開発が進められている。 Apache Bloodhound 0.4では、チケットのエディ

Chrome/Firefox：『Hola Unblocker』はリージョンロックをオフにし、BBC iPlayer、Netflix、Pandoraなどを住んでいる地域に関わらず視聴可能にしてくれるブラウザ拡張機能。設定も不要で、そのまますぐに使用可能です。VPNを変える（英文）、「Tunnelbear」やライフハッカーでも紹介した無料DNSサービス「Tunlr」を使用するなど、リージョンロックを回避する方法はいくつかありますが、Hola Unblockerは全てのプロセスを非常にシンプルにしてくれます。使い方はズバリ、拡張機能をインストールするだけ。残りの作業はHola Unblockerが全て行ってくれます。 ブラウザの設定を変更したり再起動したりといった作業も不要です。Hola Unblockerは今のところHulu、Netflix、Pandra、BBC iPlayer、iTV Pla