都税支払いサイトからカード情報6万件超が流出か
GMOペイメントゲートウェイは3月10日、受託運営する東京都の都税支払いサイトと、住宅金融支援機構の団体信用生命保険特約料支払いサイトに不正アクセスがあり、クレジットカード番号など計約6万2000件が流出した可能性があると発表した。 流出した可能性があるのは、 （1）「都税クレジットカードお支払いサイト」を利用したユーザーのクレジットカード番号と有効期限が6万1661件と、これに加えメールアドレス61万4629件 （2）「団信特約料クレジットカード払い」を利用したユーザーのクレジットカード番号・有効期限・セキュリティコードと住所氏名など個人情報が622件、これに加えメールアドレスなど計4万2918件 不正アクセスはアプリケーションフレームワーク「Apache Struts2」の脆弱性を悪用したもの。脆弱性について、 独立行政法人・情報処理推進機構（IPA）などが9日に注意喚起をしたのを受け
警察庁、「Struts 2」の脆弱性を狙ったアクセスを検知
図●Apache Struts 2の脆弱性を狙ったアクセスの検知状況（2014年4月25日0時から4月27日8時59分まで。警察庁の発表資料から引用） 警察庁は2014年4月27日、JavaのWebアプリケーションフレームワーク「Apache Struts 2」の脆弱性を狙ったアクセスを検知したとして注意を呼びかけた。 多くのWebサイトで利用されているApache Struts 2には、深刻な脆弱性が見つかっている。細工が施されたリクエストを送信されると、Webサーバーに保存された情報を盗まれたり、悪質なプログラムを実行されたりする恐れがある。 Apache Struts 2については、脆弱性を悪用する攻撃プログラムが出回っているとして、情報処理推進機構（IPA）が4月17日に警告していた（関連記事：Apache Struts 2の脆弱性対策が急務、攻撃プログラムが出回る）。 その時点で
JavaBeansに対するリフレクションとClassLoader脆弱性 - ひがやすを技術ブログ
今回の問題は、(SA)Strutsだけの問題ではなく、いろんなフレームワークでもちゃんと調べた方が良い話しなので、もう少し詳しく書いておきます。 Javaで、JavaBeansのプロパティにアクセスする場合、 PropertyDescriptor[] descriptors = Introspector.getBeanInfo(クラス).getPropertyDescriptors();で取得できるPropertyDescriptorを使うことがほとんどです。この中に、classプロパティは含まれます。 ここまでは良くて、ネストしたリクエストパラメータ(class.classLoader.xxxなど)をJavaBeansにセットする時に、BeanInfo.getPropertyDescriptors()で取得したものをそのまま使うのが問題なのです。 Seasar2(BeanDesc)では、
StrutsのClassLoader脆弱性はSAStrutsに影響しません - ひがやすを技術ブログ
Struts2に見つかった脆弱性と同様の脆弱性がStruts1系にも見つかりました。 Apache Struts 2の脆弱性が、サポート終了のApache Struts 1にも影響 HTTP(S)のリクエストでJavaのClassLoaderのメソッドが呼び出せてしまうという脆弱性です。 もう少し噛み砕いて言えば、リクエストのパラメータをJavaBeansにセットする時に、リフレクションを使い、パラメータ名にaaa.bbb.cccのようなネストした名前をサポートしているフレームワークは同様の問題が起こる可能性があります。 パラメータ名をclass.classLoader.xxxのような感じにして、ClassLoaderのメソッドを呼び出す訳です。 このような問題を起こすリフレクションフレームワークで最も有名なのは、Apache Commons BeanUtilsです。リクエストのパラメータ
Struts 2の脆弱性は最新版でも未修正、Struts 1にも同様の脆弱性が存在
Struts 2の脆弱性は最新版でも未修正、Struts 1にも同様の脆弱性が存在：国内セキュリティ企業が相次いで注意喚起 脆弱性を修正したはずのWebアプリケーションフレームワーク「Apache Struts 2」の最新版、バージョン2.3.16.1に、いまだに脆弱性が残っている。さらに、既にサポートの終了している「Struts 1」にも同様の脆弱性が存在するという。 セキュリティ企業の三井物産セキュアディレクション（MBSD）は2014年4月22日、脆弱（ぜいじゃく）性を修正したはずのWebアプリケーションフレームワーク「Apache Struts 2」の最新版、バージョン2.3.16.1に、いまだに脆弱性が残っていることを確認したと明らかにした。 またラックは2014年4月24日、Webアプリケーションフレームワーク「Apache Struts 2」に存在するものと似た脆弱性が、既に
サポート切れ企業に脅威、システム構築ソフト「ストラッツ１」、自社対策へ。 | SECURITY SHOW
ＮＴＴデータなど 企業の情報システムに新たな脅威が迫っている。多くの企業で使われているソフト「ストラッツ１」について、安全上の欠陥（脆弱性）を修正するプログラム「パッチ」の配布が４月に停止したためだ。実害はまだ無いが、専門家は「攻撃者はここぞとばかりに攻撃意欲を高めている」と話す。ＩＴ（情報技術）各社が対応を急いでいる。 ストラッツ１は設計情報が開示されており、自由に改変・再配布ができるオープンソースソフト（ＯＳＳ）。ＯＳＳなため、商用ソフトに比べ低コストでシステム構築できることから、２０００年初頭から企業での採用が増えた。 「複雑だったウェブの開発を簡単にして、一世を風靡したソフト」（ストラッツ１を使う業務ソフトを提供する企業の社長）と高い評価を得た。その後、競合ソフトも開発されたが、まだ相当数の企業がストラッツ１を使っているとみられる。 「パッチ配布が停止した今、使い続ける危険性は非常
JavaをSEとEEに分類するのは今では無意味になってきている？ - 達人プログラマーを目指して
ご存知のとおり、かなり以前からJavaプラットフォームはJava SEとJava EEとに分かれています。Java EEはJava SEを含んだ拡張APIを含み、エンタープライズ開発向けのプラットフォームということで一般的にはなんとなく理解されていますが、よくよく調べてみると両者の境界線はかなりあいまいで、人によってさまざまな解釈の違いや混乱があるようです。 一応、Java SEとJava EEのJava DOCを調べてみると主なものとして以下のようなAPIが含まれていることがわかります。 プラットフォーム API Java SE 基本言語ライブラリー、通信ライブラリー、 GUI関連ライブラリー、JDBC、JNDI、RMI、Java IDL（CORBA）、JMX Java EE サーブレット、JSP、JSF、EJB、JPA、JMS、JTA、JCA Webサービス関連ライブラリー、Java
いろんなJava Webフレームワークで同じ画面を作ってみる(Index) - よしなしごと
11夜連続企画（できなかったらすみません）。 いろんなJava Webフレームワークで同じ画面を作ってみます。 まぁ、よくある足し算プログラムです。 題材 足し算プログラム 計算結果は、別画面に遷移し出力する。 submit時にリクエストパラメータ名称で処理を切り分けるパターンを検証。 バリデーションは、必須チェックと整数チェック。 エラーメッセージは、一括で出力するパターンと、フィールド毎に出力するパターンを試す。 DBアクセスはないよ。 取り上げてみるフレームワーク 以下、記事へのリンクになってます。 Slim3 Struts1 Struts2 SAStruts Teeda(JSF) Spring MVC 3.0 Stripes Cubby2 Click Wicket Mojarra(JSF2) T2framework（追加） Play!（追加） Ninja (追加) そして、総括。
【ハウツー】Struts1系経験者のための「Struts2.1入門」 (1) Struts2.1の構造 | エンタープライズ | マイコミジャーナル
情報が少ないStruts2.1 現在、当たり前のようにシステム開発で利用されているSpringFrameworkやHibernateなどのオープンソース・フレームワーク。それらオープンソース・フレームワークの先駆けとなったStrutsは、クレイグ・マクナラハンがビーチサイドで原案を書き上げ、バージョン1.0として公開されてから、今年で早くも10年が経とうとしています。そして約10年を経てもなお、Strutsは開発者からの衰えない人気を保っています。 しかし、国内でのStruts人気は、最初に発表されたStrutsの系譜を引き継ぐバージョン番号に1を冠するStruts1系に対するものであり、WebWork2と合体したバージョン番号に2を冠するStruts2系の人気は今ひとつないように思えます。最近では、Struts2系の最新バージョン2.1.6も発表され、Struts1系よりも随分と簡単に便
＠いう間にWebアプリを作れる「Struts 2」入門 (1/3) - @IT
【特集】Strutsは“2”を使えば、サルでも幸せに ヤスダネットワーク 関川 晶子 2009/1/8 Strutsに“2”が存在することを知ってましたか？ Strutsフレームワークの登場により、JavaによるWebアプリケーション開発は飛躍的に成長しました。いまでは、さまざまなフレームワークが存在しています。日本発のフレームワークSeaserやサン・マイクロシステムズのJSFなどが有名です。 その中に、「Struts 2」というフレームワークが存在することをご存じの方は多いでしょう。ところが、日本語の情報源がとても少ないのが現実です。その結果、なかなか日本でブレイクするキッカケをつかめずにいます。 いまでも、多くの現場で使われているStrutsは、2001年に登場しました。本来Strutsが目指したものは、メンテナンス性に優れた、チーム開発に適した土台を提供することにありました。その結
Struts2書籍
国内初「Struts2入門」発売中 現在「Struts2」の書籍は本屋さんでは1冊も出ていません。本書は国内で唯一、Struts2の仕組みから実際のサンプルまで体系的に書かれたStruts2の本です。日本語の情報がほとんどない中、英文情報をもとに半年かけて調査研究した集大成です。本書はこの私自身が執筆しこのwebサイトだけで直接販売しているオンライン書籍です。書籍部分はpdfファイルで、付属しているサンプルファイルはEclipseのプロジェクトファイルとしてすぐにインポートして実行できます。書籍部分はpdfなのでAdobe Readerで検索もできますし、必要なページだけをプリントして電車の中で読んだり、非常に便利です。内容は本屋さんで販売するものと引けをとらない品質です。貴重な情報をあなただけにお届けします。下のほうにあるフォームでお申し込みいただくとすぐにこちらからメールをお送りしダウ
Apache Struts - Welcome
Apache Struts is a free, open-source, MVC framework for creating elegant, modern Java web applications. It favors convention over configuration, is extensible using a plugin architecture, and ships with plugins to support REST, AJAX and JSON. Download Technology Primer Apache Struts 6.3.0.2 GA Apache Struts 6.3.0.2 GA has been released on 7 December 2023. Read more in Announcement or in Version no
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
JVN#19118282: S2Struts において ClassLoader が操作可能な脆弱性
キングソフトの「Struts2脆弱性スキャン」に疑問が湧いたので質問してみましたよ。
慎重に扱うべきコンテンツに関する警告
Struts 2入門（8）～Struts2で構築するToDoアプリケーション～
Struts Taglib - Welcome
Welcome