先日、「エヴァンゲリオン」シリーズなどで知られるアニメ制作会社のカラーがオープンソースで開発されている3DCGソフトウェア「Blender」に資金提供をすることが明かされたが（過去記事）、同スタジオはメインの3DCGソフトウェアを商用ソフトウェアである「3ds MAX」からBlenderへと移行させようとしているという（Engadget日本版）。背景にはコストの問題があるそうだ。

3ds MAXはいわゆるサブスクリプション形式で提供されており、その費用は1ライセンス当たり年間で25万円ほどと比較的高価だという。カラーは外部のスタジオと協力して制作作業を進めているが、コスト面の問題から十分な数の3ds MAXのライセンスを導入できる会社は限られており、そのため必要な人数を確保しようとすると複数の会社に依頼せざるを得ず、管理コストが高くなってしまうという。

カラーによると、Blenderはほかのソフトウェアと比べて「引けを取らない機能を実装している」といい、さらに無料で提供されているためコスト面で導入のハードルが低いという。そのため、同社や協力スタジオでの導入を推進しているそうだ。

また、カラーやその子会社であるスタジオQ内には元々Blenderに詳しい人材がいたことも導入を後押ししたという。そのほか、Blenderはオープンソースで開発されているため、機能改善などの要望に対し迅速に対応できるのではないか、との期待もあるそうだ。

なお、現在同社が制作している「シン・エヴァンゲリオン劇場版」ではまだほかのソフトウェアがメインだが、一部で「実地検証」としてBlenderでの制作を行おうとしているという。

趣味でセキュリティ関連ソフトウェアを開発しオープンソースとして公開したエンジニアの下に、海外のセキュリティ企業からソフトウェアの譲渡や雇用のオファーが来たそうだ。このエンジニアがブログでその経緯を説明している（knqyf263's blog）。

このソフトウェアは「Trivy」という、「コンテナ」と呼ばれる仮想化システム向けの脆弱性スキャンツール。簡単に指定したコンテナ内の脆弱性をスキャンでき、精度も既存のものと比較して高いとされ、公開後国内外で話題となった。

今回このTrivyを買収したのは、米国やイスラエルに拠点を持つAqua Securityという企業。Trivyの比較対象になるようなツールを提供している企業であるが、この企業のCTOから作者の元に連絡が来て、その後ソフトウェアの買収や、同社での雇用がオファーされたという。

最終的にTrivyはAqua Securityに売却されることとなり、作者も同社に雇用されることになったとのこと。Aqua Securityではこのソフトウェアのメンテナンスやそのほかオープンソースソフトウェアの開発を行うことになるという。

Anonymous Coward曰く、

Amazon Web ServicesがSQLと互換性のあるデータクエリ言語「PartiQL」を発表した（Publickey）。

KVSやJSONでも使えるというのは便利そうである。SQL界隈の地殻変動となるか？

構文はSQLをベースにしているが、さまざまなデータソースに対応し、JSONのような構造化データも扱えるのが特徴。仕様はGitHubで公開されている。

LibreOfficeで任意コード実行が可能な脆弱性(CVE-2019-9848)が見つかり、バージョン6.2.5で修正されたのだが、完全には修正されていないようだ(The Registerの記事)。

LibreOfficeに標準でインストールされるオプションのコンポーネント「LibreLogo」では、WriterにLOGOのプログラムコードを書くことでタートルグラフィックスの描画ができる。コードはPythonのコードへ変換後に実行されるのだが、適切なチェックが行われていないため、Writer上に書いたPythonのコードは一部がそのまま実行される。これをイベントハンドラーによるマクロ実行と組み合わせ、LibreLogoの「run」マクロを指定すれば警告なしに任意コードが実行可能だ(JRE不要)。

これについてLibreOffice 6.2.5では、ドキュメントのイベントハンドラーからLibreLogを呼び出せないように修正したと説明されているが、Pythonコードのチェックについては触れられていない。実際にLibreLogoツールバーからプログラムを実行すれば、以前のバージョンと同様にPythonコードが実行される。また、脆弱性を発見したERNWが公開しているハイパーリンクのイベントハンドラーを利用するPoCはブロックされるものの、「文書を開いた時」などのイベントにマクロを割り当てれば実行可能だった。この脆弱性を使用するエクスプロイトはMetasploitにも追加され、バージョン6.2.5でも動作するようだと説明されている。そのため、この脆弱性を悪用する攻撃を回避するには、LibreLogoを削除するのが確実だ。

The Document FoundationはThe Registerに対し、バージョン6.2.5では部分的な修正にとどまることを認めている。その理由として別の方法でも脆弱性を呼び出せることを挙げ、近日リリース予定のバージョン6.3/6.2.6で修正するとも述べているが、Pythonコードがそのまま実行される問題を修正するつもりはないようだ。また、マクロのセキュリティ設定にかかわらず実行されることに関しては、実行されるのはマクロではなく、プログラムがPythonを呼び出すのだと主張している。ただし、安全性を高めるためLibreLogoを拡張機能として分離することも検討しているそうだ。

アニメ向けの高速・高品質なリアルタイムアップスケーリングアルゴリズム実装「Anime4K」がGitHubで公開されている（GIGAZINZE）。ライセンスはMIT License。

READMEによると、Vega 64 GPUを使用した場合で1080pから2160pへのアップスケールに必要な処理時間は3ミリ秒で、「Waifu2x」や「NGU」といった他のアルゴリズム実装よりも高速に処理できるという。

DirectX向けのHLSL実装、OpenGL向けのGLSL実装、Javaでの実装などが公開されている。開発の動機として、waifu2xはリアルタイムアプリケーションには遅すぎる、NGUはプロプライエタリである、といったことが記されている。

なお、Anime4KはフルHD（1080p）から4K（2160p）へのアップスケールに特化しており、480pから720pへのアップスケーリングではほかの手法と比べて良好な結果が得られなかったという。

The Document Foundationは8日、LibreOffice 6.3をリリースした(アナウンス、 リリースノート、 The Registerの記事)。

LibreOfficeのタートルグラフィックス描画機能LibreLogoでは、Writer上に書いた一部のPythonコードがそのまま実行されてしまう問題があり、イベントハンドラーによるマクロ実行と組み合わせることで任意コードが実行可能となっていた。この脆弱性はLibreOffice 6.2.5で修正されたが、ハイパーリンクのイベントハンドラーからのLibreLogoマクロ呼び出しはブロックされるようになったものの、「文書を開いた時」などのイベントではブロックされていなかった。

アナウンスやリリースノートでは特に触れられていないが、LibreOffice 6.3では文書操作などのイベントでもLibreLogoマクロの呼び出しがブロックされるようになったようだ。一方、Writer上のPythonコード実行はブロックされておらず、LibreLogoツールバーから「Logoプログラムの実行」をクリックすればPythonコードを実行できる。また、現在もLibreLogoは標準でインストールされるオプション機能となっている。

なお、LibreOfficeのダウンロードページでは安定版と最新版の2バージョンを提供しており、今回の問題を受けて安定版が一時消えていたが、LibreOffice 6.3リリースに伴ってLibreOffice 6.2.5が安定版に移動している。ただし、LibreOffice 6.2.5では上述のようなイベントからのLibreLogoマクロ呼び出しはブロックされないので注意が必要だ。LibreLogoマクロはマクロのセキュリティ設定にかかわらず、ユーザーに確認を求めることなく実行される。