世界のWebサーバの3分の1に影響？ Javaライブラリ「Log4j」の脆弱性、JPCERTらが仕組みと対策を解説
プログラミング言語Java向けログ出力ライブラリ「Apache Log4j」（Log4j）で12月10日に判明した脆弱性について、JPCERT/CCが11日に攻撃の仕組みと対策方法を公開し、注意を促した。Log4jの機能「JNDI Lookup」が悪用されると、Log4jを含むアプリケーションなどを遠隔地から自由に操作される可能性がある。 Log4jは、エラー情報などのログを外部に出力するプログラム。Javaのプログラムの中でも広く使われるものの一つで、普及の度合いについて情報セキュリティ会社の米Cybereasonは「Apacheソフトウェア財団製プログラムは世界のWebサーバの3分の1が使っている」としている。米Amazon Web Serviceや米Oracle、米Red Hatなどのクラウドサービスベンダーも、すでに脆弱性への対応を進めている。 iCloudやSteam、Minec
Log4jの深刻な脆弱性CVE-2021-44228についてまとめてみた - piyolog
2021年12月10日、Javaベースのログ出力ライブラリ「Apache Log4j」の2.x系バージョン（以降はLog4j2と記載）で確認された深刻な脆弱性を修正したバージョンが公開されました。セキュリティ関係組織では過去話題になったHeartbleedやShellshockと同レベルの脆弱性とも評価しています。ここでは関連する情報をまとめます。 １．何が起きたの？ Javaベースのログ出力ライブラリLog4j2で深刻な脆弱性（CVE-2021-44228）を修正したバージョンが公開された。その後も修正が不完全であったことなどを理由に2件の脆弱性が修正された。 広く利用されているライブラリであるため影響を受ける対象が多く存在するとみられ、攻撃が容易であることから2014年のHeartbleed、Shellshock以来の危険性があるとみる向きもあり、The Apache Software
log4j2の脆弱性を使って実際に任意コード実行してみました👀
こんにちは。かえると言います。 Twitterでは https://twitter.com/harukaeru_en で活動しています。日本人です。 日本語版: https://twitter.com/harukaeru1981 何番煎じかわかりませんが、log4j2の任意コード実行ができるようなので、実際に実行してみて、どれぐらい危険なのかをここに書くことにしました。 どういう脆弱性なのか？(TL;DR) 簡単にいうと、Webサイトやゲームサーバなどのテキストボックスで のように書くと、そこのサイトにあるJavaのclassファイルを、標的のサーバ内で実行することができます。（実際はこれとはちょっと書き方は違っていて、これは擬似コードなので動きません） 標的のサーバでは、そのclassファイルを使って自由にコマンドを呼び出せます。 ↓のように、こういったコマンドをjavaファイルの中に書
「やばすぎる」 Javaライブラリ「Log4j」にゼロデイ脆弱性、任意のリモートコードを実行可能 iCloudやSteam、Minecraftなど広範囲のJava製品に影響か
Webセキュリティ製品などを手掛ける米LunaSecの報告によると、Minecraftの他、ゲームプラットフォームのSteamやAppleの「iCloud」もこの脆弱性を持つことが分かっており、影響は広範囲に及ぶと考えられるという。 この脆弱性の影響があるのは、Log4jのバージョン2.0から2.14.1までと当初みられていたが、Log4jのGitHub上の議論では、1.x系も同様の脆弱性を抱えていることが報告されている。対策には、修正済みのバージョンである2.15.0-rc2へのアップデートが推奨されている。 セキュリティニュースサイト「Cyber Kendra」によれば、この脆弱性に対して付与されるCVE番号は「CVE-2021-44228」という。 脆弱性の報告を受け、Twitter上ではITエンジニアたちが続々反応。「やばすぎる」「思っていたよりずっとひどいバグだった」「なぜこんな
オラクル、Oracle JDKを再び無料提供へ、本番環境でも利用可。昨日リリースのJava 17から
オラクルは、同社が提供している企業向けのJavaディストリビューションであるOracle JDKのライセンスを変更し、無料で本番環境などでの利用を可能にしました。 同社が9月14日付で公開したブログ「Introducing the Free Java License 」で、次のように説明しています（関連するプレスリリース「Oracle Releases Java 17」）。 Oracle JDKを無料で提供し、四半期ごとのセキュリティアップデートも提供する。 新ライセンス「Oracle No-Fee Terms and Conditions (NFTC)」は、商用利用や本番環境での利用を含むすべてのユーザーに対して無料での利用を許可する。 Oracle JDK 17から、この無料のリリースとアップデートの提供を開始する。これは次の長期サポート（LTS：Long Term Support）が
マイクロソフトが無償でJavaの長期サポートを提供へ、「Microsoft Build of OpenJDK」をリリース
マイクロソフトが無償でJavaの長期サポートを提供へ、「Microsoft Build of OpenJDK」をリリース マイクロソフトは同社独自のOpenJDKディストリビューションとなる「Microsoft Build of OpenJDK」のプレビューリリースを発表しました。 Say hello to Microsoft Build of #OpenJDK! New Long-Term Support distribution of @OpenJDK for your @Java workloads, in the #Cloud and everywhere else! Visit https://t.co/VPM63V5M2H to learn more. pic.twitter.com/8MBIFu1PF5 — Java at Microsoft (@JavaAtMicrosof
［速報］10年にわたる著作権訴訟でGoogleがオラクルに勝訴、米連邦最高裁判所で判決。Java SEのコードのコピーはフェアユースの範囲
［速報］10年にわたる著作権訴訟でGoogleがオラクルに勝訴、米連邦最高裁判所で判決。Java SEのコードのコピーはフェアユースの範囲 オラクルがGoogleに対して、Android OSがJavaの著作権を侵害しているとして訴えていた裁判で、米連邦最高裁判所はGoogleが著作権侵害をしていないとの判断を示し、Googleが勝訴しました。 以下は米連邦最高裁判所の動向を伝えているSCOTUSblogのツイートです。 BREAKING: In major copyright battle between tech giants, SCOTUS sides w/ Google over Oracle, finding that Google didnt commit copyright infringement when it reused lines of code in its An
LINEのOpenJDK導入レポート：互換性の確認から注意事項まで
LINE株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。 LINEヤフー Tech Blog こんにちは。私は、Service EngineeringチームでSRE（Service Reliability Engineer）の業務を担当しているYongChan Kwonです。チーム名や業務名から分かると思いますが、一つの業務を担当するよりは、サービスのライフサイクルにおいてインフラ、開発、サービス技術の間で発生しうる死角を補う役割を担っています。 2018年、オラクルのライセンス体系が変更され、2019年1月以降は無料でOracle JDKを使用できなくなりました。そこで、LINE内部ではOpenJDKへの移行に向けて必要事項や検討項目を事前にまとめるため、TF（task force）を立ち上げました。また、その作業内
（2019年4月時点）JVM言語を使う方がどのJDK/JVMを使うか？アンケートと考察まとめ
Takahiro YAMADA @yamadamn Oracle Code Tokyo、私も「最適なOpenJDKディストリビューションの選び方」って内容で登壇予定です。JJUG CCCの前日ですが、よろしければご参加ください。 oracle.co.jp/events/code/20… 2019-04-15 23:59:31 Takahiro YAMADA @yamadamn 以前実施したアンケートの4月版です。 本日リリースのOracle JDK 8u211/11.0.3以降を商用(ビジネス・本番含む)利用時に商用ライセンスが必要となりました。 これを踏まえ商用環境でScala, Kotlin, Clojure, GroovyなどJVM言語を使う方はJDK/JREは何を利用されますか？(その他はリプや引用RTで) [続く] 2019-04-17 06:55:09
Java 7、Java 8、Java 11、Java 12の新元号対応アップデートが4月16日に登場予定。オラクルが発表
Java 7、Java 8、Java 11、Java 12の新元号対応アップデートが4月16日に登場予定。オラクルが発表 オラクルは、4月1日に発表される予定の新元号に対応するためのJavaのアップデートを、Java 7、Java 8、Java 11（LTS）、Java 12を対象に4月16日にリリースされる予定であることを明らかにしました（日本時間では4月17日になると思われます）。 「A new (Japanese) era for Java! | Oracle Java Platform Group, Product Management Blog」から引用します。 After the new era name is released, with the next update release (planned for April 16, 2019), all supported J
Red Hat、Windows版OpenJDKの長期商用サポート提供を発表 － Publickey
Red Hatは、これまで提供してきたRed Hat Enterprise Linux対応のOpenJDKに対する商用サポートに加えて、Windows対応のOpenJDKの長期商用サポートの提供を発表しました。 #RedHat has announced commercial support for @OpenJDK on #Microsoft @Windows, furthering our commitment to #multicloud solutions https://t.co/QG87EFaGQR #OpenJDK pic.twitter.com/Kr7jaeM2x6 — Red Hat, Inc. (@RedHat) 2018年12月18日 Red Hatは同社がビルドしたOpenJDKをRed Hat Enterprise Linuxにバンドルし、LTS（Long Ter
AWSが独自のOpenJDK「Amazon Corretto」発表。AWS内部で使っていたJavaを外部提供へ。Java 8は2023年まで、Java 11は2024年まで無償でLTSを提供
AWSが独自のOpenJDK「Amazon Corretto」発表。AWS内部で使っていたJavaを外部提供へ。Java 8は2023年まで、Java 11は2024年まで無償でLTSを提供 Amazon Web Services（AWS）は、OpenJDKのディストリビューション「Amazon Corretto」を発表しました。 Introducing Amazon Corretto – No-cost, multiplatform, production-ready distribution of OpenJDK! #corretto @Devoxx https://t.co/IFgyCXclRr pic.twitter.com/nIW5M6CIMX — AWS Open Source (@AWSOpen) 2018年11月14日 CorrettoはJavaでLTSが提供される2つのバ
マルチプラットフォームで利用可能なOpenJDKのAmazon Correttoが発表されました！ | DevelopersIO
マルチプラットフォーム（ubuntu、RHEL、Windows、MacOS）対応のLTSがついたOpenJDK互換のJavaリリースのアナウンスです！ しばらく前に、Amazon LinuxでのJavaのLTSが発表され大きな話題となりました。 Amazon LinuxでのJavaのLTS (Long-Term Support)提供について 「ほぇー、AWSもやりおるやんけ！！」と感慨にふけっていたら、それの100倍ぐらい衝撃的なニュースが、Javaの神様James Goslingのツイートで飛び込んできました。 Just announced #amazon #Corretto at #devoxx. It is our distribution of OpenJDK. https://t.co/09cuPEqnex — James Gosling (@errcraft) 2018年11月
Javaは今も無償です
Oracle JDKの配布とサポートが少し前に変更され、Oracle JDKやオラクルのOpenJDKビルド、他プロバイダのOpenJDKビルドを利用する際の権利に関して不透明なところが少なからずあります。無償アップデートや (新規と既存の) 有償サポートモデルがさまざまなベンダから提供される予定もあり、検討の余地があります。このドキュメントには要約バージョン と全詳細がある詳細バージョンのセクションがあります。 要約バージョン今もOracle JDKやオラクルのOpenJDKビルド、他プロバイダのOpenJDKビルドを無償で取得できます (このニュアンスについては以下のコラムや以降のセクションを読んでください)。これは複数のプロバイダがJava SE仕様の実装を提供するからこそ可能となっているのです。 Java SE / OpenJDK / オラクルのOpenJDKビルド / Oracl
Red HatのOpenJDKのサポート - nekop's blog
更新: Red Hat Enterprise Linux 7.6でOpenJDK 11が追加されました。現在のサポート期間は2024/10までです。 【JDK 11 リリース直前】各ベンダーのJDKリリースモデル特集！というイベントがあってRed Hatさんもどうですか、ってお誘いが来たんですが予定が入っており参加できなかったのでエントリを書いておきます。 Red Hat Enterprise Linux (RHEL)には商用サポートされるOpenJDKパッケージが含まれています。RHELのサブスクリプション費用に含まれており、OpenJDKのサポートには追加の費用はかかりません。yum install java-1.8.0-openjdkのようにパッケージをインストールすれば使えます。 OpenJDKのサポート期間についてはOracle社の影響が大きいという側面があり、RHELのサポート
Javaの有償化問題、Java8のサポート終了問題について、2019年1月以降どうしたらいいか - Qiita
この記事は3分程度で読めます。 ふわっとした情報が多いため、調べたことを備忘として残します。 (調べても結局ふわっとした感じはぬぐえていない( ﾉД`)) ※2018/7/3現在の情報です。 何がまずい？ JDK8(java8)の商用サポート期限が2019年1月で終了する(例外はあるが、後述)。以降、致命的な脆弱性があった場合にパッチが提供されないため、2019年1月までにはJDKのバージョンを上げないとセキュリティを担保できない。 OracleJDK(JavaJDK)を8より新しいバージョンにアップデートすればいいか？ OracleJDKは2018年9月リリース予定のJava11をもって、ライセンス契約者のみの配布となるため、有償サポート契約が必要になる。 LTS版(長期サポート版、現在はJDK8がこれにあたる。次が11)のバージョンアップは3年毎のサイクルで行う予定。 短期サポート版(
Javaの新しい商用ライセンス、米オラクルが発表。月額料金でデスクトップは2.5ドル、サーバは25ドル。LTS版を利用可能
Javaの新しい商用ライセンス、米オラクルが発表。月額料金でデスクトップは2.5ドル、サーバは25ドル。LTS版を利用可能 米オラクルはJava SEの新しい商用ライセンス体系「Oracle Java SE Subscriptions」を発表しました。 これまで年額で保守とサポートを提供していたものをシンプルな月額のサブスクリプション制にしたもの（標準の契約期間は1年）。デスクトップやサーバ、クラウドなどでのJavaの利用を対象としています。 価格は、デスクトップではユーザー当たり月額2.5ドル。サーバもしくはクラウドではプロセッサ当たり月額25ドル。それぞれボリュームディスカウントも用意されています。 サブスクリプションによって提供されるのは、商用バイナリのライセンス、アップデート、アップグレードそしてサポート。2018年9月にリリース予定のJava 11を皮切りに3年ごとにリリースされ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Oracle Java」のライセンスが変更 ～無償利用は個人での開発・テスト・デモ目的のみに／「Java 8」の無償アップデートは新ライセンス下で少なくとも2020年終わりまで継続
OpenJDK（Java）を最新のUbuntuにインストール - Qiita
有料化Java SEの新ライセンス体系、米オラクルが公表 - 日本経済新聞
