Mollが3ヶ月未更新、脆弱性が未修正
原題: Molly (Signal fork) has not been updated since 3 months and is vulnerable
なぜ重要か
プライバシー重視層が代替 Signal クライアントに依存するリスクを示す事例として、オープンソースフォークの持続可能性が問われている。
Signal の非公式 fork アプリ「Molly」が2024年7月31日（バージョン v8.19.2-4）を最後に更新を停止している。2024年10月に公開された脆弱性は Signal 本家の v8.27.1 で修正済みだが、Molly には未適用のまま残っており、セキュリティリスクを抱えた状態が続いている。利用者には本家 Signal への移行が推奨されている。
Signal の Android 向け fork アプリ「Molly」が、3ヶ月以上にわたって更新されていないことが判明した。直近のリリースは2024年7月31日の v8.19.2-4 で、その後は新バージョンが提供されていない。
問題の核心は脆弱性の未修正だ。2024年10月に開示された攻撃手法は Signal 本家の v8.27.1 で対処済みだが、Molly はこのパッチを取り込めていない。具体的な脆弱性の詳細は元投稿では明示されていないものの、「修正済みの攻撃手法にさらされたまま」という状況は深刻だと指摘されている。
Molly が一定の支持を集めてきた主な理由は、Google Play Services への非依存（de-Google 化）と、UnifiedPush を通じたプッシュ通知の実現だ。GrapheneOS などの脱 Google 環境のユーザーが好んで使ってきた経緯がある。ただしコミュニティでは「Signal 本家も APK を直接配布しており、Obtainium などのツールで自動更新できる」との代替案も示されている。MicroG を使えば本家 Signal でも Google Play Services なしで通知が動作するという報告もある。
F-Droid 経由でのアプリ配信を巡っては、あるAndroid 開発者が「F-Droid のレビュープロセスが煩雑すぎて、自分のアプリも3ヶ月更新できなかった」と証言しており、Molly の停滞がプラットフォーム側の問題を含む可能性も示唆されている。
現時点での推奨は明確で、Molly を削除して本家 Signal に移行することだ。Molly が今後更新を再開するかどうかは不明とされている。