「Apache」関連の最新 ニュース・レビュー・解説 記事 まとめ

セキュリティニュースアラート：
Apache StrutsにCVSS 9.5の致命的な脆弱性　緊急のアップデートが必要
Apache Software FoundationはApache Strutsフレームワークの深刻な脆弱性（CVE-2024-53677）を報告した。この脆弱性を悪用すると、リモートから任意のコードが実行され、システムが侵害される可能性がある。（2024/12/16）

セキュリティニュースアラート：
Apache Tomcatに複数の深刻な脆弱性　CVSS 9.8のものも含まれており注意
Apache Tomcatに複数の脆弱性が存在することが分かった。CVSSスコア9.8の脆弱性も見つかっているため、急ぎ対処が求められる。（2024/11/21）

Cybersecurity Dive：
Log4jの再来？　CUPSの脆弱性はなぜそこまで過大評価されたのか
UNIX系の印刷システム「CUPS」の致命的な脆弱性は、発見当初は2021年に見つかったApache Log4jの脆弱性と比較されるものと懸念されていたが、調査が進み「そこまでではない」と判断された。なぜそこまで過大評価されたのか。（2024/10/13）

セキュリティニュースアラート：
Apache Tomcatにリモートコード実行などを可能にする複数の脆弱性　医療機関は特に注意
保健医療サイバーセキュリティ調整センターは、医療機関に対し、Apache Tomcatの脆弱性について警告した。リモートコード実行などを可能とする複数の脆弱性が見つかっている。（2024/9/11）

Meta、動画内アイテム識別AIモデル「SAM 2」をApache 2.0で公開
Metaは、画像だけでなく、動画内のアイテムもセグメント化できるAIモデル「Segment Anything Model 2」（SAM 2）を発表した。モデルは「Apache 2.0」ライセンスでGitHubで公開されている。（2024/7/30）

90日以内にオープンソース化：
Snowflake、「Apache Iceberg」のオープンカタログ実装「Polaris Catalog」を発表
Snowflakeは、「Apache Iceberg」形式でベンダー中立のオープンカタログ実装「Polaris Catalog」を発表した。Apache Icebergは、データレイクハウスやデータレイクなどのモダンアーキテクチャの実装に広く使われているオープンソースデータテーブル形式だ。（2024/6/6）

セキュリティニュースアラート：
マルウェアKinsing、Apache Tomcatサーバに新たな手法を使って潜伏
TenableはマルウェアKinsingが新しい高度なステルステクニックを使ってApache Tomcatサーバに潜伏していると報じた。KinsingはLinuxクラウドインフラを標的とし、バックドアや暗号資産のマイニング機能を仕掛けることで知られている。（2024/5/27）

AIチャットbot「Grok」の基盤：
3140億パラメーターのLLM「Grok-1」をオープンソース化　イーロン・マスク氏設立のxAI
xAIは、大規模言語モデル「Grok-1」の基本モデルの重みとネットワークアーキテクチャを、Apache 2.0ライセンスでオープンソースとして公開した。（2024/3/22）

イーロン・マスク氏のxAI、LLM「Grok-1」をオープンに
イーロン・マスク氏のAI企業xAIは、予告通りLLM「Grok-1」の基本モデルの重みとアーキテクチャをオープンソース化した。GitHubでApache 2ライセンスで配布している。マスク氏はXでChatGPTのアカウントに「“オープン”について説明して」とコメントした。（2024/3/18）

「Apache Log4j脆弱性」と肩を並べる：
全世界の組織の46％に影響を及ぼす“やばい脆弱性”とは――チェック・ポイント調査
チェック・ポイント・ソフトウェア・テクノロジーズは、2023年12月の世界脅威インデックスを発表した。悪用された脆弱性のトップは「Apache Log4jのリモートコード実行」だった。（2024/1/18）

セキュリティニュースアラート：
Apache StrutsにCVSS 9.8の脆弱性　PoC公開後にサイバー攻撃への悪用が始まる
Apache Struts2の脆弱性情報とPoCが公開されたのち、サイバー攻撃者がこれを悪用し始めた。アップデートの適用が推奨されている。（2023/12/18）

Cybersecurity Dive：
米英含む情報同盟、脆弱性対策におけるエンドユーザーの責任を強調
Five Eyesの共同勧告によると、2022年に最も多く悪用された12の脆弱性の半数は2021年に発見されたものだ。ここにはApache Log4jの脆弱性もいまだに含まれている。（2023/9/10）

Stability AI Japan、日本語言語モデル「Japanese StableLM Alpha」公開　他社上回る性能、商用利用も可能
英Stability AIの日本法人であるStability AI Japanは、日本語向け大規模言語モデル（LLM）「Japanese StableLM Base Alpha 7B」を公開した。パラメータは70億。ライセンスはApache License 2.0で、商用利用可能だ。（2023/8/10）

一般的なPCでも推論やファインチューニングが可能に：
軽量動作も可能なオープンソースの大規模言語モデル「Falcon」が登場
UAEのTechnology Innovation Instituteは、Apache-2.0ライセンスの下でリリースした言語モデル「Falcon」について公式ブログで紹介した。（2023/6/29）

4万1989のオープンソースコンポーネントを分析：
「OSSの脆弱性にはパッチ適用を」が通用しない理由
Lineaje Data Labsは、Apache Software Foundationのプロジェクトに組み込まれている41,989のオープンソースコンポーネントを分析した調査レポートを発表した。（2023/5/2）

数兆分のメッセージデータをどう処理しているのか：
Discordがデータベースを「Apache Cassandra」から「ScyllaDB」に移行した“納得”の理由
Discordでは、Apache Cassandra（Cassandra）を利用していたが運用負荷など幾つかの課題があった。そこで同社は、ScyllaDBへの移行を決断し、ダウンタイムなしで移行を実現したという。Cassandraを巡ってどのような問題を抱えていたのか。どのようにダウンタイムなしで移行を実現したのか。Discordの公式ブログで解説した。（2023/4/20）

マルチクラウドでデータプラットフォーム構築：
OSSデータインフラのマネージドサービス、「Aiven」の面白さを共同創立者／CEOに聞いた
PostgreSQL、MySQL、Apache Kafkaなどがマネージドで使えるサービスがある。3大クラウドのどこで動かすかを選んでデプロイできる。共同創業者／CEOに同サービスの中身を聞いた。（2022/11/21）

Apache Tomcatに「重要」の脆弱性　急ぎアップデートを
Apache Tomcatにリクエストスマグリング攻撃を受ける可能性のある脆弱性が見つかった。該当ソフトウェアを使用している場合、問題修正済みのバージョンにアップデートすることが推奨されている。（2022/11/5）

Gartner Insights Pickup（274）：
Hadoopに関する議論、今のテーマは「次は何か」だ
Gartnerには、「ビッグデータ」に関する問い合わせが継続して寄せられているが、「Apache Hadoop」についての問い合わせは多くない。本稿では、Hadoopの現状と今後の動向について考察する。（2022/9/30）

Apache APISIXで評価：
「AWS」「Azure」「GCP」のArmサーバを徹底テスト、その納得の勝者は？
オープンソースAPIゲートウェイ「Apache APISIX」の開発チームは、Amazon Web ServicesとMicrosoft Azure、Google Cloud Platformの処理性能と価格性能比を調べた。狙ったのはArmベースサーバの優劣を見極めることであり、APISIXを使って比較テストを実行した。（2022/9/27）

SBOM管理のフォーマットよりも「独学」が最大のリスク　OSSセキュリティに有識者の苦言
Apache Log4j問題を取り上げるまでもなく、企業ITにも広くOSSが浸透する現在、セキュリティ対策でもこれらに対応する必要がある。OSS開発コミュニティーはサプライチェーン管理の現状とセキュリティリスクをどう捉えているだろうか。（2022/9/1）

Inside-Out：
セキュリティのトレンド：なぜLog4Shellの脆弱（ぜいじゃく）性は攻撃され続けるのか
2021年12月、Apache Log4jの脆弱（ぜいじゃく）性であるLog4Shellの情報が公開された。本稿ではLog4Shellの概要と、なぜ攻撃者がLog4Shellを悪用するのかを解説する。（2022/7/29）

この頃、セキュリティ界隈で：
悪用続く「Log4Shell」　対応放置の企業はランサムウェア感染など二次被害　「パッチ適用を怠れば、コストは増大」
Javaのログ出力ライブラリ「Apache Log4j」に存在する深刻な脆弱性「Log4Shell」が、いまだに悪用され続け、情報流出などの被害を発生させている。被害組織の中には複数の集団に侵入されたり、ランサムウェア感染の二次被害が発生したりするケースもある。（2022/7/12）

Log4Shellはまだ現役？　VMware Horizonを対象にしたサイバー攻撃を確認
CISAとCGCYBERはVMware HorizonおよびUnified Access Gateway（UAG）に関するセキュリティアドバイザリーを公開した。これによると複数の脅威アクターが、Apache Log4jの脆弱性である通称「Log4Shell」を利用してこれらのVMware製品にサイバー攻撃を仕掛けている。（2022/6/25）

Apache Tomcatに情報漏えいを引き起こす脆弱性　迅速なアップデートを
Apache Tomcatに深刻度が「重要」（High）に分類される脆弱性が見つかった。実装によっては脆弱性の影響を受けない可能性があるが、アップデートが提供されていることから迅速に適用してほしい。（2022/5/18）

「見えないWeb攻撃」──情報漏えい対策の盲点：
セキュリティベンダーはLog4j脆弱性攻撃にどう対応したか　舞台裏からゼロデイ攻撃対策を再考する
2021年末に発見された「Apache Log4j」の脆弱性。この脆弱性を悪用する攻撃に対峙したセキュリティベンダーは、どんな対処を取ったのか。実際の対応を参考に、ゼロデイ攻撃への対策を考える。（2022/4/20）

最も悪用された脆弱性は「Apache Log4j」：
2022年3月時点で最も流行しているマルウェアは「Emotet」　チェック・ポイント・リサーチが世界脅威インデックスを発表
チェック・ポイント・リサーチは、2022年3月の世界脅威インデックスを発表した。最も流行しているマルウェアは、国内と世界のいずれも前月と同様に「Emotet」。悪用された脆弱性の第1位は「Apache Log4j」だった。（2022/4/16）

TechTarget発　世界のITニュース
中国、イラン、北朝鮮……「Log4Shell」を使った“官製ハッカー”の動きとは
国家が関わっている複数のハッカー集団が「Apache Log4j」の脆弱性「Log4Shell」を使い、攻撃を仕掛けている。今「誰」が「どう」動いているのか。（2022/2/7）

TechTarget発　世界のITニュース
脆弱性「Log4Shell」にこれで対処　攻撃を防ぐために知っておきたい措置
企業は引き続き、「Apache Log4j」の脆弱性「Log4Shell」を悪用した攻撃に注意する必要がある。自社の防御に役立つノウハウやツールは何か。（2022/2/4）

TechTarget発　世界のITニュース
「Log4Shell」攻撃活動はなぜ“尋常ではない”のか　企業が打つべき対策とは？
「Apache Log4j」の脆弱性「Log4Shell」の攻撃は専門家も驚くほどの勢いを見せ、企業を狙っている。なぜ、これほど猛烈なのか。企業はどうすればいいのか。（2022/2/1）

Log4Shellバスターズはまだ眠れない
あの日見つけたLog4Shellの本当の恐ろしさを僕達はまだ知らない。
Apache Log4j 2の脆弱性「Log4Shell」の危険性は既にご存じだろう。その真の恐ろしさは、提供されるセキュリティアップデートを適用しただけでは解決しないということだ。（2022/2/1）

「Log4j」2.17.0にもリモートコード実行の脆弱性　修正バージョン公開
ゼロデイ脆弱性が問題になったJava向けロギングライブラリ「Apache Log4j」に、また脆弱性が見つかった。提供元の米The Apache Software Foundation（ASF）は、脆弱性を修正したバージョンへのアップデートを呼び掛けている。（2021/12/29）

半径300メートルのIT：
2021年10大セキュリティ事件に“ピンとこない”人に考えてほしいこと
2021年は年末にかけて、Emotetの活動再開やApache Log4jの脆弱性など大きなセキュリティニュースが話題になりましたが、発生したインシデントはそれだけではありません。2021年の10大セキュリティ事件をどこまで覚えていますか。（2021/12/28）

Apache HTTP Server 2.4.52が公開　深刻度「緊急」の脆弱性に対処
Apache Software Foundationは「Apache HTTP Server 2.4.52」を公開した。新バージョンは2つの脆弱性に対処した。内容の確認と迅速なアップデートが望まれる。（2021/12/24）

Apache、Log4jに関する3つ目の修正パッチを公開　新たな脆弱性を修正
Apache Log4jを巡る一連の脆弱性問題で、新たな脆弱性が発見された。Apacheはこれを受けて3つ目のセキュリティパッチを公開した。すでにアップデートをした場合も、現在のバージョンを確認するとともに対策に取り組んでおきたい。（2021/12/21）

「Log4j」に新たな脆弱性、深刻度は「High」　バージョン2.17.0へのアップデートを呼び掛け
The Apache Software Foundation（ASF）がJava環境向けのログ出力ライブラリ「Log4j 2」のバージョン2.17.0の配布を始めた。新たに見つかったDoS攻撃を引き起こす脆弱性「CVE-2021-45105」を修正する。（2021/12/20）

Log4j脆弱性を突く攻撃が高度化　WAF回避、認証情報の窃取など　JPCERTが確認
「Apache Log4j」で見つかった脆弱性について、JPCERT/CCは脆弱性を突いた攻撃が高度化していると報告した。WAFの回避、AWSの認証情報の摂取などが確認された。（2021/12/17）

ヤマーとマツの、ねえこれ知ってる？：
「Apache Log4j」の脆弱性が話題だけど、そもそもApacheとかJavaの語源って知ってる？
Log4jのjはJava。そしてApache。これらはどういう由来なのか、調べてみた。（2021/12/17）

Apple、iCloudの「Apache Log4j」ゼロデイ脆弱性を修正
「Apache Log4j」の脆弱性で名指しされていたApple iCloudだが、12月11日までには修正されていたことが分かった。（2021/12/17）

「Log4j」脆弱性、中国や北朝鮮発の悪用をMicrosoftが確認
Microsoftは、「Apache Log4j」の脆弱性が、中国、イラン、北朝鮮、トルコを起源とする複数の集団によって悪用されていることを確認した。また、複数のアクセスブローカーが企業からの情報窃盗にこの脆弱性を利用していることも確認したとしている。（2021/12/16）

「Log4j」脆弱性の攻撃数、警察庁がリアルタイム公開
世界的に問題になっている「Apache Log4j」の脆弱性について、警察庁が12月14日、全国の警察施設で観測した攻撃数の平均グラフを公開した。（2021/12/15）

Log4j、バージョン2.16.0が登場　問題の機能を削除やデフォルト無効に
米Apacheソフトウェア財団は、Java向けログ出力ライブラリ「Apache Log4j」のバージョン2.16.0をリリースした。変更点は、JNDI機能をデフォルトで無効化したことと、Massage Lookup機能を削除したことの2点で、問題となっていた脆弱性に対応した形になる。（2021/12/14）

最新バージョンへのアップデートを推奨：
IPAが「Apache Log4j脆弱性」の暫定回避方法を紹介
IPAは「Apache Log4j」の脆弱性（CVE-2021-44228）に関する対策を講じるように注意を促している。2.15.0より前の2系のバージョンが影響を受ける。（2021/12/13）

半径300メートルのIT：
Log4jのゼロデイ脆弱性から学ぶ　“ヤバい”ニュースを見落とさない組織になるコツ
Javaのロギングライブラリ「Apache Log4j」で外部環境から任意のコード実行が可能になる脆弱性（CVE-2021-44228）が大きな注目を集めています。こうした深刻な脆弱性が発見されたとき、迅速に対応できる組織になるにはどうすればいいのでしょうか。（2021/12/14）

「Log4j」の脆弱性を突く攻撃手段の情報共有は違法？　日本ハッカー協会に聞いた
ログ出力ライブラリ「Apache Log4j」に、任意のリモートコードを実行できる脆弱性があることが明らかになった問題で、その攻撃手段をネット上で共有する行為は、不正指令電磁的記録に関する罪に問われるのではないかと、エンジニアを中心に議論が起きている。（2021/12/13）

世界のWebサーバの3分の1に影響？　Javaライブラリ「Log4j」の脆弱性、JPCERTらが仕組みと対策を解説
JavaライブラリApache Log4jで見つかった脆弱性について、JPCERT/CCが攻撃の仕組みと対策方法を公開し注意を促した。（2021/12/13）

“Log4j用ワクチン”登場　脆弱性を利用して修正プログラムを実行
Javaライブラリ「Apache Log4j」で見つかった、任意のコードを実行できる脆弱性を巡り、米Cybereasonが脆弱性を修正するプログラムを公開した。“ワクチン”のように脆弱性を活用して問題を修正できる。（2021/12/13）

Apache Log4jにCVSSスコア「10.0」の脆弱性　国内で悪用を試みる通信も確認
Apache Log4jに任意コード実行の脆弱性が明らかになった。利用されているJavaシステムが多いことから影響範囲の広さが懸念されている。現状ではまだ不明点が多いが、すでに脆弱性を狙ったハッキングが確認されており、継続的な情報収集と対応が求められる。（2021/12/13）

CiscoがApache HTTP Serverの脆弱性の影響受ける製品を順次発表中、確認を
Apache HTTP Serverの5つの脆弱性はCisco製品にも影響を及ぼすようだ。Ciscoは影響を受ける製品の確認を進めており、該当製品のリストが順次更新されている状況だ。Cisco製品を使用している場合には定期的に確認しておきたい。（2021/12/11）

「やばすぎる」　Javaライブラリ「Log4j」にゼロデイ脆弱性、任意のリモートコードを実行可能　iCloudやSteam、Minecraftなど広範囲のJava製品に影響か
Javaで使われるログ出力ライブラリ「Apache Log4j」に特定の文字列を送ることで、任意のリモートコードを実行できるようになる（Remote Code Execution, RCE）、ゼロデイ脆弱性があることが分かった。Java開発製品の広範囲に影響するとみられる。（2021/12/10）