「Java」に署名検証がフリーパスになってしまう危険な脆弱性 ～影響は計り知れず／2022年4月の「Critical Patch Update」で対策済み、最新版への更新を
TechCrunch
Venture capital activity in Africa has shown resilience over the past six months, with major firms backing startups on the continent closing their funds despite the ongoing funding winter. In the la Ecosia, the search engine that funds tree-planting initiatives with its search ad profits, has launched a new cross-platform browser to grow its online footprint. The new browser, available for Mac, W
「パスワード付き圧縮ファイルは詐欺だと思って」海外からの仕事依頼でファイルをダウンロードしたらTwitterを乗っ取られた
九六槻コウ @KUROtsuki__KOU 【拡散希望】 僕のTwitterアカウントが乗っ取られました。 直前に覚えのないメールアドレス変更がありましたが、2段階認証も設定しており、経緯は現在Twitter社に確認中です。 現在乗っ取ったアカウントにて下記の固定ツイートをしているようです。 絶対にクリックしないでください！ pic.twitter.com/b2exT4i4kP 2021-12-15 04:27:22 九六槻コウ @KUROtsuki__KOU 簡単な経緯の推測 ・海外からイラストの依頼あり ・資料をrar形式(圧縮ファイルの一種)で送られてきて、ダウンロード→解凍 ・約1時間後、Twitterのメールアドレス変更の通知が来る ・念の為再度2段階認証を設定し直し ・直後乗っ取り＆メタマスク内も全部抜かれる 恐らくPCがやられた可能性 2021-12-15 05:07:17
「オープンソース」は壊れている
christine.websiteのブログより。 または: お金を払わない限り、有用なソフトウェアを書かないのか? 最近、重要なJavaエコシステム・パッケージに大きな脆弱性が見つかりました。この脆弱性が完全に兵器化されると、攻撃者はLDAPサーバから取得した任意のコードを実行するよう、Javaサーバを強制することができます。 <マラ> もしこれがニュースで、あなたがJavaショップで働いているなら、残念ですが、あなたには2、3日が待っています。 私は、これが「オープンソース」ソフトウェアの主要なエコシステム問題の全ての完璧な縮図だと考えています。log4j2が、この問題の最悪のシナリオの1つの完璧な例であると思うので、このすべてについていくつか考えを持っています。この問題に関与したすべての人が、現実世界の問題に対する完全に妥当な解決策のためにこれらすべてを行ったことは完全に合理的であり、
log4jの脆弱性について
log4jとはJava用のloggingライブラリだ。loggingライブラリというのはログとして記録すべき文字列を受け取り、それをどこかに出力するものだ。文字列の中身を通常のloggingライブラリは気にしない。 log4jが通常のloggingライブラリと違うのは、文字列の中身を見て、一部の文字列を変数とみなして置換することだ。これはlog4jのドキュメントではlookupと呼ばれている。 Log4j – Log4j 2 Lookups 例えばプログラムを実行中のJava runtimeのバージョンをログに含めたい場合は、"Java Runtime: ${java:runtime}"などとすると、"Java Runtgime: Java(TM) SE Runtime Environment (build 1.7.0_67-b01) from Oracle Corporation"などの
「やばすぎる」 Javaライブラリ「Log4j」にゼロデイ脆弱性、任意のリモートコードを実行可能 iCloudやSteam、Minecraftなど広範囲のJava製品に影響か
Webセキュリティ製品などを手掛ける米LunaSecの報告によると、Minecraftの他、ゲームプラットフォームのSteamやAppleの「iCloud」もこの脆弱性を持つことが分かっており、影響は広範囲に及ぶと考えられるという。 この脆弱性の影響があるのは、Log4jのバージョン2.0から2.14.1までと当初みられていたが、Log4jのGitHub上の議論では、1.x系も同様の脆弱性を抱えていることが報告されている。対策には、修正済みのバージョンである2.15.0-rc2へのアップデートが推奨されている。 セキュリティニュースサイト「Cyber Kendra」によれば、この脆弱性に対して付与されるCVE番号は「CVE-2021-44228」という。 脆弱性の報告を受け、Twitter上ではITエンジニアたちが続々反応。「やばすぎる」「思っていたよりずっとひどいバグだった」「なぜこんな
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Volkan Yazıcı on Twitter: "Log4j maintainers have been working sleeplessly on mitigation measures; fixes, docs, CVE, replies to inquiries, etc… https://t.co/tbtcb7yyCu"
Apple PayのVISA、勝手に決済される脆弱性
アイコンを見るだけでデータが破壊されるNTFSの脆弱性
仮想通貨イーサリアム、凍結額は約185億円 - 日本経済新聞