リリース情報 [text.Baldanders.info]

GnuPG 2.5.17 のリリース【セキュリティ・アップデート】

2026-01-28T16:02:53+09:00

セキュリティ・アップデートを含む GnuPG 2.5.17 がリリースされた。

[Announce] GnuPG and Gpg4win Security Advisory (T8044)

A crafted CMS (S/MIME) EnvelopedData message carrying an oversized wrapped session key can cause a stack buffer overflow in gpg-agent during the PKDECRYPT--kem=CMS handling. This can easily be used for a DoS but, worse, the memory corruption can very likley also be used to mount a remote code execution attack. The bug was introduced while changing an internal API to the FIPS required KEM API.

A CVE-id has not been assigned. We track this bug as T8044 under https://dev.gnupg.org/T8044. This vulnerability was discovered by: OpenAI Security Research. Their report was received on 2026-01-18; fixed versions released 2026-01-27.

via [Announce] GnuPG and Gpg4win Security Advisory (T8044)

2026-01-27 時点ではまだ CVE-ID は割り当てられていない。脆弱性の影響を受けるバージョンは以下の通り：

These versions are affected:

 - GnuPG 2.5.16          (released 2025-12-30)
 - GnuPG 2.5.15          (released 2025-12-29)
 - GnuPG 2.5.14          (released 2025-11-19)
 - GnuPG 2.5.13          (released 2025-10-22)
 - Gpg4win 5.0.0         (released 2026-01-14)
 - Gpg4win 5.0.0-beta479 (released 2026-01-02)
 - Gpg4win 5.0.0-beta476 (released 2025-12-22)
 - Gpg4win 5.0.0-beta395 (released 2025-10-22)

All other versions are not affected.

via [Announce] GnuPG and Gpg4win Security Advisory (T8044)

2.4 系は脆弱性の影響を受けない。なお 2.5 系は安定版に昇格している。さらに 2.4 系は 2026-06-30 でサポートが終了する。

Note that the 2.5 series is now declared the stable version of GnuPG. The oldstable 2.4 series will reach end-of-life in just 6 months.

The main features in the 2.5 series are improvements for 64 bit Windows and the introduction of Kyber (aka ML-KEM or FIPS-203) as PQC encryption algorithm. Other than PQC support the 2.6 series will not differ a lot from 2.4 because the majority of changes are internal to make use of newer features from the supporting libraries.

via [Announce] GnuPG 2.5.16 released

今回の脆弱性に関連して，以下のドキュメントも公開されている。

Responsible Disclosure Requires Accountability: Putting Recent GnuPG Security Reports into Context

これは

A talk at the 39th Chaos Communication Congress (39C3) presented several observations related to signature verification in GnuPG. These observations are documented on the accompanying website gpg.fail.

The way the findings were presented creates the impression that GnuPG is affected by serious security flaws and that we, as maintainers, are failing to meet our responsibilities.

In fact, we carefully reviewed each reported observation and provided timely feedback to the security researchers involved. However, this did not result in a constructive technical exchange.

via Responsible Disclosure Requires Accountability: Putting Recent GnuPG Security Reports into Context

ということで gpg.fail に対する公式な応答・評価となっている¹。詳しくはドキュメントを読んでもらうとして Kagi Assistant による要約は以下の通り。

GnuPG側は、39C3での発表に基づく gpg.fail の観察を文脈付きで評価し、指摘された問題の多くは実装上の致命的な脆弱性ではなく、使用方法やソーシャルエンジニアリング、検証不足に起因すると結論付けている

実際のバグは限定的で、既知の問題は過去に修正済みのものが多く、一部は互換性やUI安定性といった設計方針によるものであると説明している

全体として GnuPG は安全性と安定性を維持しつつ、透明なコミュニケーションと責任ある公開（responsible disclosure）が重要であり、悪用の可能性がある領域については利用者教育と適切な使用方法の周知を重視している

結論として、観察リストの大半は実装欠陥ではなく、適切な検証・運用の欠如や社会工学的リスクに起因するものとされている

ドキュメントで言及されているクリアテキスト署名（Cleartext Signatures）の問題については拙文でも言及しているので参考にどうぞ。

クリアテキスト署名の危険性

最近では GnuPG 以外にも様々な OpenPGP 実装が存在するので，それらについて調べてみてもいいかもしれない（というか調べなきゃなぁとは思っている）。

参考図書

暗号化プライバシーを救った反乱者たち: スティーブン・レビー (著), 斉藤隆央 (翻訳); 紀伊國屋書店 2002-02-16; 単行本; 4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN); 評価

20世紀末，暗号技術の世界で何があったのか。知りたかったらこちらを読むべし！

reviewed by Spiegel on 2015-03-09 (powered by PA-APIv5)

暗号技術入門第3版　秘密の国のアリス: 結城浩 (著); SBクリエイティブ 2015-08-25 (Release 2015-09-17); Kindle版; B015643CPE (ASIN); 評価

SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。

reviewed by Spiegel on 2015-09-20 (powered by PA-APIv5)

ドメインが gnupg.com となっているが，これは GnuPG を中核技術とした暗号製品の商用展開を行っている（主にドイツで）サイトである。つまり，このドキュメントは顧客へのメッセージにもなっているわけやね。 ↩︎

Web ページのメタデータを取得する goark/webinfo をリリースした

2025-11-28T19:26:26+09:00

私は自分が作ってる各プロダクトの中で特定の機能が3つ以上重複した場合は別パッケージとして切り出すことにしている。というわけで Web ページのメタデータを取得する機能をパッケージとして切り出した。

goark/webinfo: Extract metadata and structured information from web pages

要するに，完全に自分用のパッケージなので汎用性はあまり考慮していない。

使い方はこんな感じ。

package main

import (
    "bytes"
    "context"
    "encoding/json"
    "fmt"
    "io"
    "os"

    "github.com/goark/webinfo"
)

func errorOut(err error) {
    fmt.Fprintf(os.Stderr, "%+v\n", err)
}

func main() {
    ctx := context.Background()
    // Fetch metadata for a page
    info, err := webinfo.Fetch(ctx, "https://text.baldanders.info/", "") // empty UA uses default
    if err != nil {
        errorOut(err)
        return
    }
    // output metadata as pretty JSON
    b, err := json.MarshalIndent(info, "", "  ")
    if err != nil {
        errorOut(err)
        return
    }
    if _, err := io.Copy(os.Stdout, bytes.NewBuffer(b)); err != nil {
        errorOut(err)
        return
    }
    fmt.Println()
    fmt.Println()

    // Download main image to permanent file in current directory
    imgPath, err := info.DownloadImage(ctx, ".", false)
    if err != nil {
        errorOut(err)
        return
    }
    fmt.Println("image saved:", imgPath)

    // Download thumbnail to permanent file in current directory
    thumbPath, err := info.DownloadThumbnail(ctx, ".", 150, false) // 150px width
    if err != nil {
        errorOut(err)
        return
    }
    fmt.Println("thumbnail saved:", thumbPath)
}

encoding/json/v2 パッケージを使えば MarshalWrite() 関数で直接標準出力に出せるんだけど，まだ実験的実装なので，今回は従来の encoding/json パッケージを使っている。

これを実行するとこんな感じ。

$ go run sample.go
{
  "url": "https://text.baldanders.info/",
  "location": "https://text.baldanders.info/",
  "canonical": "https://text.baldanders.info/",
  "title": "text.Baldanders.info",
  "description": "帰ってきた「しっぽのさきっちょ」",
  "image_url": "https://text.baldanders.info/images/attention/site.jpg",
  "user_agent": "Mozilla/5.0 (Windows NT 6.1; rv:11.0) Gecko/20100101 Firefox/11.0"
}

image saved: site.jpg
thumbnail saved: site-thumb.jpg

ダウンロードした site.jpg がこれ。

site.jpg

site-thumb.jpg はこれ。

site-thumb.jpg

site-thumb.jpg は site.jpg を幅150ピクセルにリサイズして保存している。

README.md ファイルや godoc ページを見ると分かるけど，私にしてはドキュメントが煩い（笑）実はこれ，ほぼ GitHub Copilot (model: GPT-5 mini を選択) に書かせたものなのよね。今回，新規に書いたメソッドとテストおよびドキュメントは Copilot に丸投げしてみた。

閑話休題 (それはさておき)

前にも書いたけど，プロンプトさえ上手くハマれば7割以上は使えるコードを書いてくれる。でも結局のところ，残りの3割なり2割なり1割なりがインパクトの大きい部分だったりするのだ。案の定 lint にかけると，特に gosec あたりにがっつり怒られた。そんでチマチマ直したりする。

あとこれは感覚的なもの言いで申し訳ないんだけど，記述に一貫性がないんだよね。なんというか，面識のない複数の他人がバラバラに書き込んだような感じ。だからコードがちょっと読みにくいし，全体で見て合理的ではない記述もある。でも，記述が間違ってないか確認するためにはきちんと精査しないといけないわけで，そこも微妙なんだよな。

テストコードについては最初「動けばいいや」ということで，大きく間違ってない限り Copilot が書いたコードをそのまま採用していた。 Copilot に「○○のケースを追加して」って書くと，記述が面倒くさいケースでも律儀に書いてくれるんだけど（これは有り難い），書いてる様子を VSCode 上で眺めてると「あぁ，これは正しく動かんだろうな」みたいなテストコードを最初書いて，実際にテストを動かしたらやっぱりエラーになって，そんでまた修正を入れて… ってのを何度か繰り返してて「ずいぶん人間臭いことするなぁ」と思ったりした。

だいたい収束したところで PR を出して Copilot にレビューさせたのだが，テストコードをけちょんけちょんに貶された（笑）いや，同じ Copilot が書いたコードやろがい。で，やっぱり人間である私が改めてテストコードを精査し指摘部分を書き直す作業をチマチマと。

コメントやドキュメントについてはかなり助かった。最初に書いたように「ここまで要るか？」ってくらい詳細に書いてくれるので，逆に Copilot が書いたコメントやドキュメントが設計書代わりになっている。特に .github/copilot-instructions.md を Copilot が書き出してくれたのは助かった。私はそれを見て実装の過不足を確認できるし Copilot も作業の精度を上げることができる。仕様・設計上の変更についても，人間がコードを修正して Copilot に言えば実装に合わせてドキュメントも直してくれるので，実装とドキュメントが乖離するといった「あるある」なことは，ある程度緩和できるのだ。

Copilot の使い方も少しずつ分かってきたし，今回作ったパッケージを既存のプロダクトに組み込んだら，いよいよ新しいツールの制作に入るか。

参考図書

初めてのGo言語第2版 ―他言語プログラマーのためのイディオマティックGo実践ガイド: Jon Bodner (著), 武舎広幸 (翻訳); オライリー・ジャパン 2025-08-05 (Release 2025-08-05); 単行本（ソフトカバー）; 4814401191 (ASIN), 9784814401192 (EAN), 4814401191 (ISBN); 評価

第2版。 Generics の説明が大幅に改訂されたらしい。練習問題も追加されている。

reviewed by Spiegel on 2025-11-02 (powered by PA-APIv5)

Go言語 100Tips ありがちなミスを把握し、実装を最適化する impress top gearシリーズ: Teiva Harsanyi (著), 柴田芳樹 (著); インプレス 2023-08-18 (Release 2023-08-18); Kindle版; B0CFL1DK8Q (ASIN); 評価

版元で PDF 版を購入可能。事実上の Effective Go とも言える充実の内容。オリジナルは敢えてタイトルに “tips” という単語を入れるのを避けたのに邦題が「100 Tips」とかなっていて，原作者がお怒りとの噂（あくまで噂）

reviewed by Spiegel on 2023-08-18 (powered by PA-APIv5)

プログラミング言語Go (ADDISON-WESLEY PROFESSIONAL COMPUTING SERIES): Alan A.A. Donovan (著), Brian W. Kernighan (著), 柴田芳樹 (翻訳); 丸善出版 2016-06-20; 単行本（ソフトカバー）; 4621300253 (ASIN), 9784621300251 (EAN), 4621300253 (ISBN); 評価

著者のひとりは（あの「バイブル」とも呼ばれる）通称 “K&R” の K のほうである。この本は Go 言語の教科書と言ってもいいだろう。と思ったら絶版状態らしい（2025-01 現在）。復刊を望む！

reviewed by Spiegel on 2016-07-13 (powered by PA-APIv5)

hymkor/struct2flag から fork した goark/struct2pflag をリリースした

2025-11-23T18:33:12+09:00

以前 golang セクションで紹介した hymkor/struct2flag だが，これは標準の flag パッケージを使っている。他の類似の flag パッケージついては

オプション体系が GNU っぽくなってしまったり、"flag" の機能まで内包していて、そこまで要らないということで選定候補から外した

Goの構造体タグによるコマンドラインオプション・設定ファイル・環境変数の一元管理 - 標準愚痴出力より

とのことで，それはそれで妥当な選択だと思う。

ただ，私は GNU 拡張シンタックスに対応した spf13/pflag が使いたかったのよ。

というわけで，オリジナルの hymkor/struct2flag から fork して spf13/pflag を使うよう改造した goark/struct2pflag をリリースした¹。使い方は hymkor/struct2flag とほぼ同じ。以前書いた「struct2flag でコマンドライン解析」のコードを goark/struct2pflag を使って書き換えてみる。

package main

import (
	"fmt"
	"strings"

	"github.com/goark/struct2pflag"
	"github.com/spf13/pflag"
)

type Flags struct {
	N    bool   `pflag:"no-newline,n,omit trailing newline"`
	Sep  string `pflag:"sep,s,separator"`
	Strs []string
}

func NewFlags() *Flags {
	return &Flags{N: false, Sep: " ", Strs: []string{}}
}

func Echo(f *Flags) {
	fmt.Print(strings.Join(f.Strs, f.Sep))
	if !f.N {
		fmt.Println()
	}
}

func main() {
	f := NewFlags()
	struct2pflag.BindDefault(f)
	pflag.Parse()
	f.Strs = pflag.Args()

	Echo(f)
}

flag が spf13/pflag に hymkor/struct2flag が goark/struct2pflag に置き換わったほか，構造体タグのプレフィックスが flag: から pflag: に変わっている点に注目。ヘルプを表示させると

$ go run echo4a.go -h
Usage of /tmp/go-build2259633867/b001/exe/echo4a:
  -n, --no-newline   omit trailing newline
  -s, --sep string   separator (default " ")

てな感じに長いオプション名と一文字の短いオプション名が併記されているのが分かる。実際に動かしてみると

$ go run echo4a.go --sep / May the Force be with you
May/the/Force/be/with/you

$ go run echo4a.go -s / May the Force be with you
May/the/Force/be/with/you

と長いオプション名でも短いオプション名でも同じ動作になることが分かる。 spf13/pflag の挙動については拙文「標準 flag パッケージを pflag パッケージに置き換える」で簡単に紹介しているので，そちらも参考にどうぞ。

hymkor/struct2flag で使う構造体タグ flag: も受け入れるようにした（flag: と pflag: は混在可能）。

type Flags struct {
	N    bool   `flag:"n,omit trailing newline"`
	Sep  string `flag:"s,separator"`
	Strs []string
}

ただし，この場合は長いオプション名のみ定義されるため

$ go run echo4b.go -h
Usage of /tmp/go-build1365887832/b001/exe/echo4b:
      --n          omit trailing newline
      --s string   separator (default " ")

という感じに，あくまでも spf13/pflag のルールで構成されるのでご注意を。

一応 hymkor/struct2flag と同程度の機能は持たせている。今後は浮動小数点数や時間を指定できたらいいな，と思っている。他に spf13/pflag ではオプション値を格納する変数側を slice にすることで同じオプションを複数回指定できる機能もあるので，それもサポートしたいところ。まぁ，あくまでも私が使う際に必要に応じて拡張するということで。リクエスト等ありましたら PR いただけると助かります。

参考図書

初めてのGo言語第2版 ―他言語プログラマーのためのイディオマティックGo実践ガイド: Jon Bodner (著), 武舎広幸 (翻訳); オライリー・ジャパン 2025-08-05 (Release 2025-08-05); 単行本（ソフトカバー）; 4814401191 (ASIN), 9784814401192 (EAN), 4814401191 (ISBN); 評価

第2版。 Generics の説明が大幅に改訂されたらしい。練習問題も追加されている。

reviewed by Spiegel on 2025-11-02 (powered by PA-APIv5)

Go言語 100Tips ありがちなミスを把握し、実装を最適化する impress top gearシリーズ: Teiva Harsanyi (著), 柴田芳樹 (著); インプレス 2023-08-18 (Release 2023-08-18); Kindle版; B0CFL1DK8Q (ASIN); 評価

reviewed by Spiegel on 2023-08-18 (powered by PA-APIv5)

プログラミング言語Go (ADDISON-WESLEY PROFESSIONAL COMPUTING SERIES): Alan A.A. Donovan (著), Brian W. Kernighan (著), 柴田芳樹 (翻訳); 丸善出版 2016-06-20; 単行本（ソフトカバー）; 4621300253 (ASIN), 9784621300251 (EAN), 4621300253 (ISBN); 評価

reviewed by Spiegel on 2016-07-13 (powered by PA-APIv5)

最初は GitHub の fork 機能をそのまま使っていたが自己 pull request の際に，うっかりオリジナルの hymkor/struct2flag の方に PR しそうになったため fork 関係を切り離した。やり方は「GithubでForkしたリポジトリをFork元から切り離して管理する」を参考にした。ありがたや 🙇 ↩︎

Typst 0.14 がリリースされた

2025-10-25T17:03:16+09:00

Typst 0.14 がリリースされた。

0.14 のハイライトは以下の通り：

Accessibility

PDF standards

PDFs as images

Character-level justification

Richer HTML export

Migrating to Typst 0.14

Community Call

via Typst: Typst 0.14: Now accessible

日本語での解説は以下の記事が参考になる。

Typst 0.14.0 の内容を早めに深堀り

個人的に気になるのは PDF/UA-1 (ISO 14289-1) をサポートした点かな。

タグ付き PDF の標準としては PDF/A があるけど¹， PDF/UA はアクセシビリティを重視したもののようで，米国の議会図書館では「望ましい文書形式」として PDF/A より PDF/UA のほうが優先順位が高いらしい。一方 PDF/A のほうは，アーカイブ用途での長期保存を目的としていてセキュリティ設定が禁止されている。この辺は使い分けが必要かな。

なお Typst は PDF/A もフルサポートしている。

他に注意点としては関数名やシンボル名の一部が deprecated になってるので “Migrating to Typst 0.14” を確認したほうがいいだろう。

ブックマーク

参考文献

Typst完全入門: LaTeXより簡単、Markdownより強力、美しいドキュメント作成術: doitsu (著); 2024-12-08 (Release 2024-12-08); Kindle版; B0DPXBNTRS (ASIN); 評価

マークアップ言語および組版ツールである Typst についての解説。 Kindle 版のみの提供。固定レイアウトではないためレイアウトが崩れまくって読みにくい。この手の技術解説書は固定レイアウトの Kindle 版か，いっそ PDF で出してほしい。でも Typst についてまとまった解説のある日本語の本は他に見当たらなかったのでありがたい。

reviewed by Spiegel on 2025-02-20 (powered by PA-APIv5)

PDF/A については，拙文「LuaLaTeX で PDF/A を構成する」を参考にどうぞ。 ↩︎

Java 25 LTS がリリースされた

2025-09-17T09:55:46+09:00

予定通り Java 25 LTS がリリースされた。

Java のサポート期間

以下は Oracle が定めるサポート・ロードマップ¹。

Release GA Date Premier Support Extended Support

17 (LTS) 2021-09 2026-09 2029-09

21 (LTS) 2023-09 2028-09 2031-09

24 2025-03 2025-09

25 (LTS) 2025-09 2030-09 2033-09

26 2026-03 2026-09

27 2026-09 2027-03

Release	GA Date	Premier Support	Extended Support
17 (LTS)	2021-09	2026-09	2029-09
21 (LTS)	2023-09	2028-09	2031-09
24	2025-03	2025-09
25 (LTS)	2025-09	2030-09	2033-09
26	2026-03	2026-09
27	2026-09	2027-03

via Oracle Java SE Support Roadmap

これによると Java 25 は 2030-09 までのサポートとなる。なお 2025-09 時点で Premier Support が終了しているものは除いている（Java 24 は今月（2025-09）でサポートが切れるので注意）。

いまだ需要のある Java 8 等については Adoptium や Canonical などで最新バイナリを取得可能である。

OpenJDK のアップデート

ここでは OpenJDK の実行バイナリをリリースページから直接ダウンロードして配置する方法を挙げる。以下は完全手動でインストールした場合（笑）

$ cd /usr/local/src
$ sudo curl -LO "https://download.java.net/java/GA/jdk25.0.1/2fbf10d8c78e40bd87641c434705079d/8/GPL/openjdk-25.0.1_linux-x64_bin.tar.gz"
$ cd ..
$ sudo unlink java # 以前のバージョンの Java 環境がある場合
$ sudo tar xvf src/openjdk-25.0.1_linux-x64_bin.tar.gz
$ sudo ln -s jdk-25.0.1 java
$ java -version # すでに PATH が通っている場合
openjdk version "25.0.1" 2025-10-21
OpenJDK Runtime Environment (build 25.0.1+8-27)
OpenJDK 64-Bit Server VM (build 25.0.1+8-27, mixed mode, sharing)

私としては PlantUML が動けばいいので，試しておく²。

Factory Method Pattern

よーし，うむうむ，よーし。

ブックマーク

参考図書

Spring Data JPAプログラミング入門: 溝口賢司 (著); 秀和システム 2017-08-03 (Release 2018-04-23); Kindle版; B07CKHR8C1 (ASIN); 評価

JPA のお勉強用に購入。紙のほうはプレミアが付いてるっぽいが Kindle で買えるよ。固定レイアウトだからブラウザの Kindle Cloud Reader で読めるし。真面目に基本を押さえて書いていて分かりやすい。

reviewed by Spiegel on 2021-08-26 (powered by PA-APIv5)

Effective Java 第3版: Joshua Bloch (著), 柴田芳樹 (翻訳); 丸善出版 2018-10-30; 単行本（ソフトカバー）; 4621303252 (ASIN), 9784621303252 (EAN), 4621303252 (ISBN); 評価

再勉強中。 Kindle 版のほうがちょっと安いが，勤務先でも使いたかったので紙の本にした。

reviewed by Spiegel on 2021-03-17 (powered by PA-APIv5)

Spring Boot 2 入門: 基礎から実演まで: 原田けいと (著), 竹田甘地 (著), Robert Segawa (著); 2020-05-22 (Release 2020-05-22); Kindle版; B0893LQ5KY (ASIN); 評価

Spring Boot を勉強することになって急遽買った本。めっさ分かりやすかった。 PDF 版が欲しいくらい（笑） Spring Boot 3.2 対応にアップデートされていた。素敵！

reviewed by Spiegel on 2024-03-20 (powered by PA-APIv5)

記事で挙げたロードマップは Oracle Java によるものであり， OpenJDK のサポート期間についてはディストリビューションによるが，大抵の場合 LTS 版であれば Oracle Java より長くサポートされることが多い。 ↩︎
2025-09-09 に PlantUML v1.2025.7 がリリースされている。 PlantUML の使い方等については拙文「真面目に PlantUML」シリーズを参考にどうぞ。 ↩︎

Go 1.25 のリリース

2025-08-13T10:46:18+09:00

予定通り8月に Go 1.25 がリリースされた。

リリースノートをざっと眺めて個人的に気になった部分をピックアップする。

go.mod に ignore ディレクティブを追加

go.mod ファイルの記述に ignore ディレクティブが追加された。これを使うことで Go コマンドの解析対象から除外するディレクトリを指定できる。たとえば

module example.com/my/module

go 1.25

ignore ./node_modules
ignore (
    static
    content/html
    ./third_party/javascript
)

みたいな感じ。 Go のコードとは関係ないディレクトリに大量のファイルがある場合は ignore ディレクティブで対象ディレクトリを指定することによって Go コマンドの解析効率を上げる，というのが目的らしい。

nil ポインタに関するバグの修正

たとえば

package main

import "os"

func main() {
    f, err := os.Open("nonExistentFile")
    name := f.Name()
    if err != nil {
        return
    }
    println(name)
}

というコードで os.Open() 関数で失敗した場合，本来は f に nil が入ってるはずなので name := f.Name() の部分で panic になる筈なのだが，1.21 以降 1.24 以前のバージョンでは err != nil のチェックが行われるまで評価が遅延されてしまい panic にならずに通ってしまっていたらしい。上述のコードの場合は実害なさげだが，もっと複雑なコードでは問題になるかもしれない。

というわけで 1.25 では上述のコードの場合，正しく panic を吐くよう修正された。併せて，エラーチェックに関しては

package main

import "os"

func main() {
    f, err := os.Open("nonExistentFile")
    if err != nil {
        return
    }
    name := f.Name()
    println(name)
}

のように，可能な限り error を返す関数の直後に err != nil のチェックを行うよう推奨している。

encoding/json/v2 パッケージの実験的実装

ついに encoding/json/v2 パッケージが実装された。

ただし，今のところは experimental implementation であり，今後のバージョンとの互換性は保証されていないため，取り扱いには注意が必要である。新しいパッケージを有効にするには，ビルド時に環境変数で GOEXPERIMENT=jsonv2 と指定する必要がある。また，この環境変数をセットすることで従来の encoding/json パッケージの内部実装も v2 ベースに切り換わるらしい。

というわけで，今の encoding/json パッケージで問題がないのであれば v2 パッケージへの移行は今のところは保留しておいたほうがいいかもしれない。ただし encoding/json パッケージの最新ドキュメントには

For historical reasons, the default behavior of v1 encoding/json unfortunately operates with less secure defaults. New usages of JSON in Go are encouraged to use encoding/json/v2 instead.

json package - encoding/json - Go Packagesより

などと記されており，将来的には v2 パッケージへの移行が必要になるだろう。

その他

コンテナ対応の GOMAXPROCS
新しい実験的な GC
- ビルド時に環境変数に GOEXPERIMENT=greenteagc を指定
runtime/trace.FlightRecorder API
crypto パッケージの改良
Windows で os.NewFile() の改良。 non blocking I/O のサポート

他にも様々な変更・改良がある。

Go 1.25.6 の導入【2026-01-18 更新】

Go 1.25.6 がリリースされた。

CVE ID ベースで5件の脆弱性修正がある（1.25.0 からの累積で18件）。

Ubuntu の APT で管理している Go コンパイラは古いので，ダウンロードページからバイナリ（go1.25.6.linux-amd64.tar.gz）を取ってきてインストールすることを推奨する。以下は完全手動での作業例。

$ cd /usr/local/src
$ sudo curl -LO "https://go.dev/dl/go1.25.6.linux-amd64.tar.gz"
$ cd ..
$ sudo unlink go # 以前の Go が入っている場合
$ sudo tar xvf go1.25.6.linux-amd64.tar.gz
$ sudo mv go go1.25.6
$ sudo ln -s go1.25.6 go
$ go version # /usr/local/go/bin にパスが通っている場合
go version go1.25.6 linux/amd64

Windows はインストールパッケージを取ってきて直接インストールする。 Scoop などのパッケージ管理ツール経由でも OK

複数バージョンの Go コンパイラを扱いたい場合は

$ go install golang.org/dl/25.6@latest
$ go1.25.6 download
$ go1.25.6 version
go version go1.25.6 linux/amd64

てな感じに導入できる。

ブックマーク

アップデート情報

日本語情報

参考図書

プログラミング言語Go (ADDISON-WESLEY PROFESSIONAL COMPUTING SERIES): Alan A.A. Donovan (著), Brian W. Kernighan (著), 柴田芳樹 (翻訳); 丸善出版 2016-06-20; 単行本（ソフトカバー）; 4621300253 (ASIN), 9784621300251 (EAN), 4621300253 (ISBN); 評価

reviewed by Spiegel on 2016-07-13 (powered by PA-APIv5)

効率的なGo ―データ指向によるGoアプリケーションの性能最適化: Bartłomiej Płotka (著), 山口能迪 (翻訳); オライリー・ジャパン 2024-02-24; 単行本（ソフトカバー）; 4814400535 (ASIN), 9784814400539 (EAN), 4814400535 (ISBN); 評価

版元で Ebook を買える。Go言語のリファレンス本ではない。フトウェア工学，プログラミング（の考え方）を学ぶ教科書的な位置づけかなぁ。

reviewed by Spiegel on 2024-04-21 (powered by PA-APIv5)

Go言語で学ぶ並行プログラミング　他言語にも適用できる原則とベストプラクティス impress top gearシリーズ: James Cutajar (著), 柴田芳樹 (著); インプレス 2024-12-04 (Release 2024-12-04); Kindle版; B0DNYMMBBQ (ASIN); 評価

読書会のために購入。インプレス社の本は Kindle 版より版元で PDF 版を買うのがオススメ。「並行処理」について原理的な解説から丁寧に書かれている。 Go で解説されているが Go 以外の言語でも応用できる。

reviewed by Spiegel on 2025-01-25 (powered by PA-APIv5)

Node.js v24 がリリースされた

2025-05-09T07:34:18+09:00

最近仕事で React なんか弄ってるもんで Node.js の動向も押さえておこうかな，と。

Node.js — Node v24.0.0 (Current)

この記事について Kagi Assistant に要約してもらった。

Node.js 24.0.0のリリース内容を要約します。

リリース日: 2025年5月6日

主な更新点:

V8 JavaScriptエンジンがバージョン13.6にアップデート

新機能例: Float16Array, 明示的リソース管理, RegExp.escape, WebAssembly Memory64, Error.isErrorなど

npmがバージョン11にアップデート

パフォーマンス向上やセキュリティ改善、最新JavaScriptパッケージとの互換性強化

WindowsでのビルドにMSVCサポートを廃止し、ClangCLが必須に

AsyncLocalStorageがデフォルトでAsyncContextFrameを使用し、非同期コンテキスト追跡の効率化

URLPattern APIがグローバルオブジェクトに追加され、URLパターンマッチングが容易に

パーミッションモデルの改善（実験的フラグが--experimental-permissionから--permissionに変更）

テストランナーの改善でサブテストの自動待機が可能に

HTTPクライアントライブラリUndiciがバージョン7に更新

非推奨・削除:

url.parse()のランタイム非推奨（WHATWG URL APIの使用推奨）

tls.createSecurePairの削除

SlowBufferのランタイム非推奨

REPLのnewなしインスタンス化の非推奨

Zlibクラスのnewなし使用の非推奨

child_processのspawnやexecFileでのargsパラメータの非推奨

LTS移行予定: 2025年10月にLTSへ移行予定（現在はCurrentリリース）

このリリースはNode.jsのプラットフォームの進化を促進する重要なアップデートであり、開発者は新機能の活用や非推奨APIの置き換えを検討することが推奨されています¹。

Node.js — Node v24.0.0 (Current) ↩︎

というわけで Node.js v24 は 2025-10 以降に LTS になる予定である。 Node.js の LTS は通常30ヶ月間サポートされる。現在 LTS として運用されているバージョンは v22 と v20 である（v20 は 2026-04 まで）。また v18 は 2025-04 に EoL (End-of-Life) になっている。

ブックマーク

React のお勉強

参考文献

Effective TypeScript 第2版 ―型システムの力を最大限に引き出す83項目: Dan Vanderkam (著), 今村謙士 (翻訳); オライリー・ジャパン 2025-04-08 (Release 2025-04-08); 単行本（ソフトカバー）; 4814401094 (ASIN), 9784814401093 (EAN), 4814401094 (ISBN); 評価

TypeScript のお勉強用に購入。版元で PDF 版が買える。

reviewed by Spiegel on 2025-05-03 (powered by PA-APIv5)

TypeScriptとReact/Next.jsでつくる実践Webアプリケーション開発: 手島拓也 (著), 吉田健人 (著), 高林佳稀 (著); 技術評論社 2022-07-25 (Release 2022-07-25); 単行本（ソフトカバー）; 4297129167 (ASIN), 9784297129163 (EAN), 4297129167 (ISBN); 評価

仕事用に購入。版元で電子版が買える。必要なところだけつまみ食い的に参照している。

reviewed by Spiegel on 2023-11-26 (powered by PA-APIv5)

Go 1.24 のリリース

2025-02-12T19:28:13+09:00

予定通り Go 1.24 がリリースされた。以下，簡単にブックマークだけ記しておく（随時追加予定）。

パッと見たところ暗号周りが派手に変わってる感じ。あとは encoding.TextAppender と encoding.BinaryAppender かな。これを使ったリファクタリングが広範に行われている印象。この辺は後で調べてみよう。

Go 1.24.5 の導入【2025-07-09 更新】

Go 1.24.5 がリリースされた。

[security] Go 1.24.5 and Go 1.23.11 are released

CVE ID ベースで1件の脆弱性修正がある（1.24.0 からの累積で7件）。

Ubuntu の APT で管理している Go コンパイラは古いので，ダウンロードページからバイナリ（go1.24.5.linux-amd64.tar.gz）を取ってきてインストールすることを推奨する。以下は完全手動での作業例。

$ cd /usr/local/src
$ sudo curl -LO "https://go.dev/dl/go1.24.5.linux-amd64.tar.gz"
$ cd ..
$ sudo unlink go # 以前の Go が入っている場合
$ sudo tar xvf src/go1.24.5.linux-amd64.tar.gz
$ sudo mv go go1.24.5
$ sudo ln -s go1.24.5 go
$ go version # /usr/local/go/bin にパスが通っている場合
go version go1.24.5 linux/amd64

Windows はインストールパッケージを取ってきて直接インストールする。 Scoop 経由でも OK

複数バージョンの Go コンパイラを扱いたい場合は

$ go install golang.org/dl/24.5@latest
$ go1.24.5 download
$ go1.24.5 version
go version go1.24.5 linux/amd64

てな感じに導入できる。

ブックマーク

参考図書

プログラミング言語Go (ADDISON-WESLEY PROFESSIONAL COMPUTING SERIES): Alan A.A. Donovan (著), Brian W. Kernighan (著), 柴田芳樹 (翻訳); 丸善出版 2016-06-20; 単行本（ソフトカバー）; 4621300253 (ASIN), 9784621300251 (EAN), 4621300253 (ISBN); 評価

reviewed by Spiegel on 2016-07-13 (powered by PA-APIv5)

効率的なGo ―データ指向によるGoアプリケーションの性能最適化: Bartłomiej Płotka (著), 山口能迪 (翻訳); オライリー・ジャパン 2024-02-24; 単行本（ソフトカバー）; 4814400535 (ASIN), 9784814400539 (EAN), 4814400535 (ISBN); 評価

版元で Ebook を買える。Go言語のリファレンス本ではない。フトウェア工学，プログラミング（の考え方）を学ぶ教科書的な位置づけかなぁ。

reviewed by Spiegel on 2024-04-21 (powered by PA-APIv5)

Go言語で学ぶ並行プログラミング　他言語にも適用できる原則とベストプラクティス impress top gearシリーズ: James Cutajar (著), 柴田芳樹 (著); インプレス 2024-12-04 (Release 2024-12-04); Kindle版; B0DNYMMBBQ (ASIN); 評価

reviewed by Spiegel on 2025-01-25 (powered by PA-APIv5)

Go 1.23 のリリース

2024-08-14T08:49:49+09:00

予定通り Go 1.23 がリリースされた。以下，簡単にブックマークだけ記しておく。最近いろいろと放ったらかしだなぁ。

Go 1.23.0 の導入

Ubuntu の APT で管理している Go コンパイラは古いので，ダウンロードページからバイナリ（go1.23.0.linux-amd64.tar.gz）を取ってきてインストールすることを推奨する。以下は完全手動での作業例。

$ cd /usr/local/src
$ sudo curl -L "https://go.dev/dl/go1.23.0.linux-amd64.tar.gz" -O
$ cd ..
$ sudo unlink go # 以前の Go が入っている場合
$ sudo tar xvf src/go1.23.0.linux-amd64.tar.gz
$ sudo mv go go1.23.0
$ sudo ln -s go1.23.0 go
$ go version # /usr/local/go/bin にパスが通っている場合
go version go1.23.0 linux/amd64

Windows はインストールパッケージを取ってきて直接インストールする。 Scoop 経由でも OK

複数バージョンの Go コンパイラを扱いたい場合は

$ go install golang.org/dl/23.0@latest
$ go1.23.0 download
$ go1.23.0 version
go version go1.23.0 linux/amd64

てな感じに導入できる。

参考図書

プログラミング言語Go (ADDISON-WESLEY PROFESSIONAL COMPUTING SERIES): Alan A.A. Donovan (著), Brian W. Kernighan (著), 柴田芳樹 (翻訳); 丸善出版 2016-06-20; 単行本（ソフトカバー）; 4621300253 (ASIN), 9784621300251 (EAN), 4621300253 (ISBN); 評価

reviewed by Spiegel on 2016-07-13 (powered by PA-APIv5)

初めてのGo言語 ―他言語プログラマーのためのイディオマティックGo実践ガイド: Jon Bodner (著), 武舎広幸 (翻訳); オライリージャパン 2022-09-26; 単行本（ソフトカバー）; 4814400047 (ASIN), 9784814400041 (EAN), 4814400047 (ISBN); 評価

2021年に出た “Learning Go” の邦訳版。私は版元で PDF 版を購入。 Go 特有の語法（idiom）を切り口として Go の機能やパッケージを解説している。 Go 1.19 対応。

reviewed by Spiegel on 2022-10-11 (powered by PA-APIv5)

Go言語 100Tips ありがちなミスを把握し、実装を最適化する impress top gearシリーズ: Teiva Harsanyi (著), 柴田芳樹 (著); インプレス 2023-08-18 (Release 2023-08-18); Kindle版; B0CFL1DK8Q (ASIN); 評価

reviewed by Spiegel on 2023-08-18 (powered by PA-APIv5)

効率的なGo ―データ指向によるGoアプリケーションの性能最適化: Bartłomiej Płotka (著), 山口能迪 (翻訳); オライリー・ジャパン 2024-02-24; 単行本（ソフトカバー）; 4814400535 (ASIN), 9784814400539 (EAN), 4814400535 (ISBN); 評価

版元で Ebook を買える。Go言語のリファレンス本ではない。フトウェア工学，プログラミング（の考え方）を学ぶ教科書的な位置づけかなぁ。

reviewed by Spiegel on 2024-04-21 (powered by PA-APIv5)

PuTTY 0.81 がリリースされた【セキュリティ・アップデート】

2024-04-16T20:42:46+09:00

Windows 用の SSH クライアントソフトである PuTTY について ECDSA 署名に絡んで秘密鍵が漏洩するリスクがあるらしい。

PuTTY vulnerability vuln-p521-bias

Every version of the PuTTY tools from 0.68 to 0.80 inclusive has a critical vulnerability in the code that generates signatures from ECDSA private keys which use the NIST P521 curve. (PuTTY, or Pageant, generates a signature from a key when using it to authenticate you to an SSH server.)

via PuTTY vulnerability vuln-p521-bias

上の引用の通り，対象となるのは PuTTY 0,68 から 0.80 までのバージョン。最新の 0.81 で修正されている。なお FileZilla, WinSCP, TortoiseGit, TortoiseSVN といったアプリケーションには PuTTY がバンドルされていることがあるので，これらのアップデート情報にも注意すること。 PuTTY は年に1,2回くらいの頻度でセキュリティ・アップデートが発生するので（ちゃんとメンテされてる証拠），バンドル品は使わないほうがいいと思うなぁ。

日本語カスタム版は PuTTY-ranvis がおすすめ。こちらも 0.81 がリリースされた。

PuTTYrv (PuTTY-ranvis) - Ranvis software

厄介なことに今回はアプリケーションを更新しただけではダメで，認証鍵を新しいものに差し替える必要があるかも知れない。ただし対象となるのは NIST P-521 楕円曲線を使った ECDSA 鍵のみ。それ以外はとりあえずセーフということで（笑）

今回の脆弱性は ECDSA 署名時に使用する nonce を生成するための乱数生成に起因するものらしい。以前から DSA/ECDSA の実装上のネックとなっているのがこの乱数生成部分で，ここの実装をサボると秘密鍵の漏洩に繋がることが知られている。まぁ，今回はサボったわけではないだろうが，何らかの不備があったということだろう。

というわけで，新たに認証鍵を作成するのなら EdDSA (ed25519 曲線) 鍵にすることをお勧めする。 EdDSA は2023年にリリースされた NIST FIPS 186-5 に標準として正式に組み込まれたので，仕事用でも大手を振って使ってよい。

CVE-2024-31497

In PuTTY 0.68 through 0.80 before 0.81, biased ECDSA nonce generation allows an attacker to recover a user’s NIST P-521 secret key via a quick attack in approximately 60 signatures. This is especially important in a scenario where an adversary is able to read messages signed by PuTTY or Pageant. The required set of signed messages may be publicly readable because they are stored in a public Git service that supports use of SSH for commit signing, and the signatures were made by Pageant through an agent-forwarding mechanism. In other words, an adversary may already have enough signature information to compromise a victim’s private key, even if there is no further use of vulnerable PuTTY versions. After a key compromise, an adversary may be able to conduct supply-chain attacks on software maintained in Git. A second, independent scenario is that the adversary is an operator of an SSH server to which the victim authenticates (for remote login or file copy), even though this server is not fully trusted by the victim, and the victim uses the same private key for SSH connections to other services operated by other entities. Here, the rogue server operator (who would otherwise have no way to determine the victim’s private key) can derive the victim’s private key, and then use it for unauthorized access to those other services. If the other services include Git services, then again it may be possible to conduct supply-chain attacks on software maintained in Git. This also affects, for example, FileZilla before 3.67.0, WinSCP before 6.3.3, TortoiseGit before 2.15.0.1, and TortoiseSVN through 1.14.6.

via CVE-2024-31497

以下未稿。

ブックマーク

参考

SSH Mastery: OpenSSH, PuTTY, Tunnels and Keys (IT Mastery Book 12) (English Edition): Lucas, Michael W (著); Tilted Windmill Press 2018-02-06 (Release 2018-02-06); Kindle版; B079NL1L9K (ASIN); 評価

タイトルを見て “SSH Mystery” と空目したアホは私です。洋書だけど英語不得手の私にも読める内容。

reviewed by Spiegel on 2021-01-11 (powered by PA-APIv5)

暗号技術入門第3版　秘密の国のアリス: 結城浩 (著); SBクリエイティブ 2015-08-25 (Release 2015-09-17); Kindle版; B015643CPE (ASIN); 評価

SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。

reviewed by Spiegel on 2015-09-20 (powered by PA-APIv5)

暗号化プライバシーを救った反乱者たち: スティーブン・レビー (著), 斉藤隆央 (翻訳); 紀伊國屋書店 2002-02-16; 単行本; 4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN); 評価

20世紀末，暗号技術の世界で何があったのか。知りたかったらこちらを読むべし！

リリース情報 [text.Baldanders.info]

GnuPG 2.5.17 のリリース【セキュリティ・アップデート】

参考図書

Web ページのメタデータを取得する goark/webinfo をリリースした

参考図書

hymkor/struct2flag から fork した goark/struct2pflag をリリースした

参考図書

Typst 0.14 がリリースされた

ブックマーク

参考文献

Java 25 LTS がリリースされた

Java のサポート期間

OpenJDK のアップデート

ブックマーク

参考図書

Go 1.25 のリリース

go.mod に ignore ディレクティブを追加

nil ポインタに関するバグの修正

encoding/json/v2 パッケージの実験的実装

その他

Go 1.25.6 の導入 【2026-01-18 更新】

ブックマーク

アップデート情報

日本語情報

参考図書

Node.js v24 がリリースされた

ブックマーク

参考文献

Go 1.24 のリリース

Go 1.24.5 の導入 【2025-07-09 更新】

ブックマーク

参考図書

Go 1.23 のリリース

Go 1.23.0 の導入

参考図書

PuTTY 0.81 がリリースされた【セキュリティ・アップデート】

CVE-2024-31497

ブックマーク

参考

Go 1.25.6 の導入【2026-01-18 更新】

Go 1.24.5 の導入【2025-07-09 更新】