「Java」に署名検証がフリーパスになってしまう危険な脆弱性 ～影響は計り知れず／2022年4月の「Critical Patch Update」で対策済み、最新版への更新を
TechCrunch
Venture capital activity in Africa has shown resilience over the past six months, with major firms backing startups on the continent closing their funds despite the ongoing funding winter. In the la Ecosia, the search engine that funds tree-planting initiatives with its search ad profits, has launched a new cross-platform browser to grow its online footprint. The new browser, available for Mac, W
「オープンソース」は壊れている
christine.websiteのブログより。 または: お金を払わない限り、有用なソフトウェアを書かないのか? 最近、重要なJavaエコシステム・パッケージに大きな脆弱性が見つかりました。この脆弱性が完全に兵器化されると、攻撃者はLDAPサーバから取得した任意のコードを実行するよう、Javaサーバを強制することができます。 <マラ> もしこれがニュースで、あなたがJavaショップで働いているなら、残念ですが、あなたには2、3日が待っています。 私は、これが「オープンソース」ソフトウェアの主要なエコシステム問題の全ての完璧な縮図だと考えています。log4j2が、この問題の最悪のシナリオの1つの完璧な例であると思うので、このすべてについていくつか考えを持っています。この問題に関与したすべての人が、現実世界の問題に対する完全に妥当な解決策のためにこれらすべてを行ったことは完全に合理的であり、
log4jの脆弱性について
log4jとはJava用のloggingライブラリだ。loggingライブラリというのはログとして記録すべき文字列を受け取り、それをどこかに出力するものだ。文字列の中身を通常のloggingライブラリは気にしない。 log4jが通常のloggingライブラリと違うのは、文字列の中身を見て、一部の文字列を変数とみなして置換することだ。これはlog4jのドキュメントではlookupと呼ばれている。 Log4j – Log4j 2 Lookups 例えばプログラムを実行中のJava runtimeのバージョンをログに含めたい場合は、"Java Runtime: ${java:runtime}"などとすると、"Java Runtgime: Java(TM) SE Runtime Environment (build 1.7.0_67-b01) from Oracle Corporation"などの
「やばすぎる」 Javaライブラリ「Log4j」にゼロデイ脆弱性、任意のリモートコードを実行可能 iCloudやSteam、Minecraftなど広範囲のJava製品に影響か
Webセキュリティ製品などを手掛ける米LunaSecの報告によると、Minecraftの他、ゲームプラットフォームのSteamやAppleの「iCloud」もこの脆弱性を持つことが分かっており、影響は広範囲に及ぶと考えられるという。 この脆弱性の影響があるのは、Log4jのバージョン2.0から2.14.1までと当初みられていたが、Log4jのGitHub上の議論では、1.x系も同様の脆弱性を抱えていることが報告されている。対策には、修正済みのバージョンである2.15.0-rc2へのアップデートが推奨されている。 セキュリティニュースサイト「Cyber Kendra」によれば、この脆弱性に対して付与されるCVE番号は「CVE-2021-44228」という。 脆弱性の報告を受け、Twitter上ではITエンジニアたちが続々反応。「やばすぎる」「思っていたよりずっとひどいバグだった」「なぜこんな
追記（19日）東洋経済オンラインの的外れ記事 / 高木浩光＠自宅の日記 - 治外法権のeLTAX、マルウェア幇助を繰り返す無能業者は責任追及されて廃業に追い込まれよ
■ 治外法権のeLTAX、マルウェア幇助を繰り返す無能業者は責任追及されて廃業に追い込まれよ ここ数年、不正送金の被害がインターネットバンキングの法人口座で急増しているという*1。その原因は今更言うまでもなく、Java実行環境（JRE）やAdobe製品の古いバージョンの脆弱性を突いてくるマルウェアである。しかしそれにしても、法人口座を扱うパソコンがなぜ、Java実行環境やAdobe製品をインストールしているのだろうか。インストールしなければ被害も起きないのに……。 その謎を解く鍵が、eLTAX（地方税ポータルシステム）にあるようだ。eLTAXでは、インターネットバンキングの口座を用いた納税ができることから、インターネットバンキング用のパソコンでeLTAXの利用環境も整えるということが普通になっていると思われる。そのeLTAXが、昨日までは、Java実行環境のインストールを強要していた。eL
複数の国内サイトがドメイン名ハイジャックされた件をまとめてみた - piyolog
2014年11月5日にJPCERT/CC、JPRSがドメイン名ハイジャックに関する注意喚起を公開しました。また同日日本経済新聞社が同社サイトがこの攻撃を受けていたことを速報で報じました。*1 ここでは関連情報をまとめます。 注意喚起・対策 JPCERT/CC 登録情報の不正書き換えによるドメイン名ハイジャックに関する注意喚起 JPRS （緊急）登録情報の不正書き換えによるドメイン名ハイジャックとその対策について（2014年11月5日公開） JPRS (PDF) 補足資料：登録情報の不正書き換えによるドメイン名ハイジャックとその対策について JPNIC IPアドレス・AS番号/ドメイン名に関する登録情報の不正書き換えに関する注意喚起 タイムライン 日付 出来事 9月第1週 Volexityが日経で不正なサイトへの接続を確認。 10月9日 VolexityがBlog記事を公開。 10月15日
「JavaはGoogleへ売却すべき」――脆弱性放置のOracleに忠告
企業が手にできる最悪の保証といえば、政府によるソフトウェア使用禁止令だろう。2013年1月10日（米国時間）、米Oracleに起きたことは、まさにそれだった。米国土安全保障省（DHS）が、全てのコンピュータユーザーに対して、重大な脆弱性があることを理由に、クライアントPCのJavaを無効にすべきだと警告したのだ。 関連記事 米Oracleの怠慢を批判――「Javaはアンインストールすべき」 検出不可？ Javaの脆弱性を突く「ファイルなしボット」 Javaをアンインストールせずにセキュリティを高める方法 「Java 7 Update 10」に、「Red October」というグローバルマルウェアネットワークへ接続する重大な脆弱性悪用プログラム（エクスプロイト）が見つかった。そのエクスプロイトは、世界中の政府系機関にある数百台のクライアントPCに侵入し、数カ月間にわたって活動していた。 Or
不正送金 閲覧しただけでウイルス感染 NHKニュース
インターネットバンキングの利用者のパソコンをウイルスに感染させ、口座の現金を不正に送金する事件が相次いでいますが、このウイルスは、細工が施されたホームページを閲覧しただけで感染するようになっていたことが、情報セキュリティー会社の調査で分かりました。 三井住友銀行やゆうちょ銀行など６つの銀行のインターネットバンキングでは、利用者のパスワードがウイルスによって盗まれ、先月末までに、合わせて１８００万円以上が不正に送金されたことが分かっています。 このパスワードを盗み出すウイルスを情報セキュリティー会社が調査したところ、不正な細工が施されたホームページを閲覧しただけで感染するようになっていたことが分かりました。 不正な細工がどのホームページに施されていたかは分かっていませんが、パソコンで広く利用されているＪａｖａというプログラムの古いバージョンの欠陥を悪用していたということです。 ウイルスを調べ
Windowsのウィルス感染、大半がJava、Adobe製品のアップデート忘れ | スラド
ストーリー by hylom 2011年09月30日 7時06分 もうWindows-Updateと統合しちゃえばいいんじゃ 部門より Windowsがウィルス、マルウェアに感染する主な要因は、ユーザがアップデートを怠ったJava JREやAdobe Reader/Acrobat、Adobe Flashの脆弱性を突かれるケースが大半であると、セキュリティ企業CSIS Security Group(本社デンマーク)が調査結果を公表しました（ITMediaの関連記事）。 同社はほぼ3カ月にわたり様々なExploitキットについてリアルタイムでデータを収集し、ウィルス感染の85%以上が、このようなExploitキットの自動攻撃によってユーザが知らないうちに感染する「ドライブバイアタック」であることを突き止めました。調査の結果は次のとおりです。 Java JRE … 37%Adobe Reader
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Volkan Yazıcı on Twitter: "Log4j maintainers have been working sleeplessly on mitigation measures; fixes, docs, CVE, replies to inquiries, etc… https://t.co/tbtcb7yyCu"
https://www.eltax.jp/www/contents/1400330472524/files/GIdenshi20130328-8223.pdf