Log4jの深刻な脆弱性CVE-2021-44228についてまとめてみた - piyolog
2021年12月10日、Javaベースのログ出力ライブラリ「Apache Log4j」の2.x系バージョン（以降はLog4j2と記載）で確認された深刻な脆弱性を修正したバージョンが公開されました。セキュリティ関係組織では過去話題になったHeartbleedやShellshockと同レベルの脆弱性とも評価しています。ここでは関連する情報をまとめます。 １．何が起きたの？ Javaベースのログ出力ライブラリLog4j2で深刻な脆弱性（CVE-2021-44228）を修正したバージョンが公開された。その後も修正が不完全であったことなどを理由に2件の脆弱性が修正された。 広く利用されているライブラリであるため影響を受ける対象が多く存在するとみられ、攻撃が容易であることから2014年のHeartbleed、Shellshock以来の危険性があるとみる向きもあり、The Apache Software
Apache Log4jの任意のコード実行の脆弱性（CVE-2021-44228）に関する注意喚起
JPCERT-AT-2021-0050 JPCERT/CC 2021-12-11（新規） 2022-01-04（更新） I. 概要 更新: 2022年1月4日記載 現時点で不明な点もあることから、今後の動向次第で下記掲載内容を修正、更新する予定がありますので、関連情報への注視のほか、本注意喚起の更新内容も逐次ご確認ください。 次の更新を行いました。詳細は「III. 対策」を参照してください。 - Apache Log4jのバージョン2.17.1（Java 8以降のユーザー向け）、2.12.4（Java 7のユーザー向け）及び2.3.2（Java 6のユーザー向け）が公開されました JavaベースのオープンソースのロギングライブラリのApache Log4jには、任意のコード実行の脆弱性（CVE-2021-44228）があります。Apache Log4jが動作するサーバーにおいて、遠隔の第三
「やばすぎる」 Javaライブラリ「Log4j」にゼロデイ脆弱性、任意のリモートコードを実行可能 iCloudやSteam、Minecraftなど広範囲のJava製品に影響か
Webセキュリティ製品などを手掛ける米LunaSecの報告によると、Minecraftの他、ゲームプラットフォームのSteamやAppleの「iCloud」もこの脆弱性を持つことが分かっており、影響は広範囲に及ぶと考えられるという。 この脆弱性の影響があるのは、Log4jのバージョン2.0から2.14.1までと当初みられていたが、Log4jのGitHub上の議論では、1.x系も同様の脆弱性を抱えていることが報告されている。対策には、修正済みのバージョンである2.15.0-rc2へのアップデートが推奨されている。 セキュリティニュースサイト「Cyber Kendra」によれば、この脆弱性に対して付与されるCVE番号は「CVE-2021-44228」という。 脆弱性の報告を受け、Twitter上ではITエンジニアたちが続々反応。「やばすぎる」「思っていたよりずっとひどいバグだった」「なぜこんな
Javaを救うOracleレジスタンスは
悪の帝国 Oracle が Java を有償化し重税を課そうとしたその時、正義の勇者 Amazon が立ち上がり新しい Java 実装 Corretto を無償で広めて救ったのだ！ ……という情弱が好きそうなデマがあるんだが、こんな陳腐なシナリオに喜んでいるようではインチキなテック系 YouTuber に食い物にされてしまうぞ☆ Oracle レジスタンスはいた。彼らは Oracle の中に潜んでいたんだ。 赤字に苦しむ Sun時は2005年に遡る。 Java を開発した 米 Sun Microsystems は赤字にあえいでいた。 2004年に Java 5 (目玉機能はジェネリクス) がリリースされてしばらくの頃だ。 この頃、ひとつのオープンソースプロジェクトが立ち上がる。名を Apache Harmony という。 開発は2005年5月に開始され、2006年10月には Apache
フェアユースは認められたが、Googleは対価を支払うべき - Java API訴訟に寄せて - arclamp
ようやく裁判の結果が出ました。結果としてフェアユースが認められたのはよかったのですが、Googleが勝訴したということは素直に喜べないので、その理由を書いておきます。 関連ニュースは、こういったところから。 約1兆円の賠償金を巡るGoogleとOracleの10年にわたる訴訟が決着、「APIのコピー」は結局違法なのか？ - GIGAZINE Google、オラクルの著作権侵害せず 米最高裁判決: 日本経済新聞 グーグル、米最高裁でオラクルに勝訴--「Android」Javaコード訴訟で - CNET Japan 経緯 では、経緯について時系列に沿って整理していきます。推定可能な事実に基づきますが、一部、妄想も含まれています。 2005年 Google（広告収入増やすには無償で改変自由なスマホOSが重要になるはず。普及させるなら開発者の多いJavaベースだよな。でも、クラスライブラリ改変しな
主要Javaアプリケーションサーバに影響するJavaライブラリの脆弱性を正しく理解する | トレンドマイクロ セキュリティブログ
広く Javaアプリケーションサーバに影響する Javaライブラリの脆弱性の存在が報道、公表されています。本件は多くの問題を内包し、複雑です。本記事では、その影響範囲と問題点を正しく理解するために、情報の整理を行いたいと思います。 ■この脆弱性の概要 この脆弱性は、Java のデシリアル化処理を利用して任意のコードを実行可能、というものです。すでに 2015年1月に行われた AppSecCali 2015の「Marshalling Pickles」と題する発表の中で、セキュリティ研究者の Gabriel Lawrence氏と Christopher Frohoff氏により、PoC（概念実証コード、攻撃コード）が公開されています。この PoC の対象のクラスは「Apache Commons Collections」「Spring」「Groovy」です。 ■この脆弱性の影響範囲と深刻度 そして
Javaの危機 Oracleに反発してApacheがコミュニティーを脱退 : SIerブログ
1 ：月下灯里 ◆67Iij11ij122： 2010/12/13(月) 18:31:56.66 ID:uw021Mf90 ASFは11月、OracleがApache Harmonyにテストキットライセンス（TCK）を提供しないの はJCPの規則に反しており、権利が認められないのであればJCPを脱退すると警告。ほかの JCPメンバーにもJava SE 7仕様に反対票を入れることでOracleに抗議するよう呼び掛けて いた。だが、投票の結果12対3の圧倒的多数で仕様が承認されたため、辞任を発表した。 Oacleのメッシンガー氏は公式ブログで「Apacheには立場を考え直してJava推進の プロセスに引き続き参加するよう勧める。ASFや多くのオープンソースプロジェクトの 参加は、Javaエコシステム全体にとって重要だ」としている。ただし、この問題の発端と なっているTCKについては何も触れてい
＠IT：現場に活かすJakarta Project 第6回 DBのコネクションプールを簡単に実現する
今回も、前回「Commonsでオブジェクトプーリングを実現」に引き続きCommonsプロジェクトの活用法を紹介します。前回はPoolを利用してデータベースのコネクションプーリングを実現しました。今回はDBCPを用いて、より容易なデータベースのコネクションプーリングを実現してみましょう。なお、この原稿執筆時点でのDBCPコンポーネントの最新バージョンは1.0です。 PoolingDriverクラスとPoolingDataSourceクラス 通常JDBCを用いたプログラミングではConnectionオブジェクト（java.sql.Connection）を使ってデータベースにアクセスしますが、Connectionオブジェクトを取得するにはDriverオブジェクト（java.sql.Driver）やDataSourceオブジェクト（javax.sql.DataSource）が必要になります。DBC
ウェブ・アプリケーションの革命がここにある - Apache Wicketユーザーグループを始めます - 矢野勉のはてな日記
Java, Wicket このブログをいままで読んでいる方なら、私がApache Wicketの大ファンだということはご存知でしょう。ついに1.3としてApacheプロジェクト入りしてから最初のリリースを果たしたWicketフレームワークは、日本ではまだそれほど普及していませんが、今年は米国で「Wicket in Action」が出版される予定があるなど、かなり注目されているフレームワークです。 私はそんな控えめな表現では表せない魅力をWicketに感じています。Wicketは、Javaのいままでのフレームワーク開発の積み重ねがもたらした「ウェブ・アプリケーションの革命」です。Echo2のようにHTMLを廃してJavaだけでプログラムを組むのでなく、JSFのように新しいテンプレートを作るのでもない。HTMLとJavaを結合して、HTMLをJavaで、Javaらしいコードで制御するという方向
QuickVPS上のDebian EtchにTomcat5.5をいれる - 守破離
無事JDK5.0もインストール出来たので、お次は一番の目的であるTomcatのインストールです！ (`･ω･´) 長い道のりだった・・・ (ノ__･｡) 何はともあれ、Javaの環境変数とか全く設定してなかったのでその設定から。 システム全体に設定を適用したいので # vi /etc/profile で以下の環境変数をexportします。 export JAVA_HOME="/usr/lib/jvm/java-1.5.0-sun" export CLASSPATH=".:$JAVA_HOME/lib/tools.jar:$JAVA_HOME/lib/dt.jar" export CATALINA_OPTS="-Djava.awt.headless=true -Xmx128m" （追記）この設定ならCATALINA_OPTSいらないかも。 そしたら /etc/profile の内容を反映して
Apache2.2+Tomcat5.5 - 気の向くままに・・・
Apache HTTP Server2.2とTomcatを連携する場合は、Apache2.0以前の時と異なり、mod_jk/mod_jk2は要らなくなった・・・という話を耳にしたので、とりあえず調査。 Apache側のmod_proxy_ajpにより連携できるようになっているようですね。何も考えずに、とりあえずはjsp-examplesとservlets-examplesの２つのパスに関してTomcat側に処理を送るようにしてみました（今回使用したのはApache2.2.3 + Tomcat5.5.20）。 httpd.confファイルの #LoadModule proxy_module modules/mod_proxy.so #LoadModule proxy_ajp_module modules/mod_proxy_ajp.so の２行のコメントを解除し、<Location /jsp
Linux/CentOS5/Tomcat - ピノキヲ IT Wiki
ピノキヲ IT WikiTomcat5の自動起動設定 † 起動スクリプトを自動起動するようにすればOKです。 # mv /etc/rc.d/rc5.d/{K,S}20tomcat5 # mv /etc/rc.d/rc3.d/{K,S}20tomcat5 起動します(RUN LEVELが5の場合) # /etc/rc.d/rc5.d/S20tomcat5 start ログファイルに下記のメッセージが出力してあればOKです。起動してます。 7- 6月-07 12:56:52 午前 org.apache.coyote.http11.Http11BaseProtocol start INFO: Coyote HTTP/1.1を http-8080 で起動します 7- 6月-07 12:56:52 午前 org.apache.jk.common.ChannelSocket init INFO: JK
apache2.2でのtomcatとの連携 - すがブロ
JSPやServletなどのJ2EEで開発を行う際に、単純に開発環境として環境構築する際にはtomcatだけでも十分な場合があるけど、実際に運用するにはapacheとtomcatを連携させて動かすのが普通だと思う。 連携っていうのを乱暴に説明すると、ポート80でtomcatを動かす為の設定だと思えば良い（こうしないとhttp://localhost:8080なんて形でアクセスしないとJSP/Servletが動かないっていうダサいことになる）。 以前のapache（2.0とそれ以前）ではmod_jkおよびmod_jk2というコネクタ（モジュール）を使用して連携を行っていたんだけど、2.2以降では方式が変わったようだ。 以前までのmod_jkはjakartaからDLとかして使用していたのだが、2.2からはmod_proxy_ajpというデフォルトで組み込まれているコネクタ（モジュール）を使用し
Configuring Tomcat5 and Apache2 with Virtual Hosts using mod_jk
Configuring Tomcat5 and Apache2 with Virtual Hosts using mod_jk Version 1.0 Author: C. Troy Popplewell Visit the Endorsoft.com forums at http://www.endorsoft.com/forums . Last edited: 02/10/2006 Overview This tutorial explains how I was able to setup a web server in order to support Java Server Pages (JSP) and Servlets using virtually hosted websites. Although this setup worked for this particular
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
JMeter(高機能/フリーなテストツール)第1回：JMeterの基本
Log In - Apache Software Foundation
install tomcat5.5-admin - Rock’N’Debian!!
はてなブログ | 無料ブログを作成しよう
https://www.itarchitect.jp/enterprise/-/18582.html
Apache 2.2 と Tomcat 5.5 の連携 on Debian GNU/Linux etch