世界のWebサーバの3分の1に影響？ Javaライブラリ「Log4j」の脆弱性、JPCERTらが仕組みと対策を解説
プログラミング言語Java向けログ出力ライブラリ「Apache Log4j」（Log4j）で12月10日に判明した脆弱性について、JPCERT/CCが11日に攻撃の仕組みと対策方法を公開し、注意を促した。Log4jの機能「JNDI Lookup」が悪用されると、Log4jを含むアプリケーションなどを遠隔地から自由に操作される可能性がある。 Log4jは、エラー情報などのログを外部に出力するプログラム。Javaのプログラムの中でも広く使われるものの一つで、普及の度合いについて情報セキュリティ会社の米Cybereasonは「Apacheソフトウェア財団製プログラムは世界のWebサーバの3分の1が使っている」としている。米Amazon Web Serviceや米Oracle、米Red Hatなどのクラウドサービスベンダーも、すでに脆弱性への対応を進めている。 iCloudやSteam、Minec
“ログソフト”に深刻なぜい弱性 IPA 早急な対策呼びかけ | NHKニュース
世界中で広く使われている、サーバーの操作記録などを残すためのソフトウエアに、深刻なぜい弱性が見つかり、悪用されると情報を引き出されたり、最悪の場合、サーバーの管理者権限を奪われたりするおそれもあるとして、情報セキュリティー機関が、ソフトを使用している事業者などに対して早急に対策をとるよう呼びかけています。 ぜい弱性が見つかったのは、コンピューターのサーバーの操作履歴などの記録を残すために使われている「Apache Log4j2」と呼ばれるソフトウエアです。 情報処理推進機構＝「IPA」によりますと、このソフトウエアは、一般に公開され無償で利用できますが、世界中で広く使われているプログラミング言語「Java」で開発されたシステムなどに組み込まれていて、ぜい弱性が悪用されると、コンピューターウイルスを送り込まれたり、外部に情報を引き出されたりするほか、最悪の場合、サーバーの管理者権限が奪われる
AWS、「Java 8」を2026年まで、「Java 11」は2027年まで、現行より3年サポート期間延長を発表。独自JavaディストリビューションのCorretto 8とCorretto 11で
AWS、「Java 8」を2026年まで、「Java 11」は2027年まで、現行より3年サポート期間延長を発表。独自JavaディストリビューションのCorretto 8とCorretto 11で Amazon Web Services（AWS）は、同社が無償で提供しているJavaディストリビューション「Amazon Corretto」の長期サポート期間を延長すると発表しました。 Java 8に相当する「Amazon Corretto 8」は2023年6月までだったのが2026年5月までに延長、Java 11に相当する「Amazon Corretto 11」は2024年8月までだったのが2027年9月までにサポート期間が延長されます。 ユーザーはこの日まで無償でAWSからセキュリティパッチなどを受け取ることができます。 New #AWSLaunches! Announcing 3 new
なぜマイナポータルはJava必須なのか、開発者側の理屈でユーザー体験がおざなりに
ICリーダーライターを購入し、民間サイトを含む複数のサイトを巡ってソフトをインストールし、設定を完了させる。ITリテラシーの高いユーザーでも、ログイン成功まで至るのは相当な苦労を要する。 さらにJava実行環境は、2013～2014年にかけて、脆弱性を狙ったサイバー攻撃が多発した経緯がある。通常利用のブラウザーに組み込むにはセキュリティ面で不安が残る。 なぜ、マイナポータルはJava実行環境が必須となったのか。今後、改善の余地はあるのか。内閣官房 番号制度推進室 番号制度推進管理補佐官の楠正憲氏に聞いた（取材は文章ベースのやり取りで実施し、表現は一部編集した）。 Java実行環境を必須とする構成にした理由は。 楠氏 店頭で販売され、また実際に利用されている、できるだけ多くのPCとMacに対応しつつ、できるだけ端末ソフトウエアを共通化して開発および保守の工数を最適化するためだ。 e-Taxの
地方税ポータル「eLTAX」はなぜActiveXを採用したのか、地方税電子化協議会に聞いた
～eLTAXをお使いの皆様へ～ Java実行環境が不要になります （中略） ※電子署名を付与する場合に、ActiveXコントロールのインストールが必要です 地方税電子化協議会が運営する地方税電子申告システム「eLTAX（エルタックス）」のWebサイト上で2016年3月3日に掲載された案内（PDF）が、IT技術者の間で波紋を呼んでいる。 eLTAXではこれまで、Web上で利用届出や申請などを行う際の電子署名を、Javaアプレットで実行していた。だが、Java実行環境（JRE）の更新に伴うJavaアプレットの動作確認が間に合わず、旧バージョンのJREのインストールを利用者に求めることがたびたびあった。 eLTAXでは、2016年3月14日からJREに代わり、動作確認が不要なActiveXを採用。このとき掲載した利用案内では、Internet Explorer（IE）設定で「署名済みActive
オラクル、「Java有償化という誤解」を解き、未来を語る
日本オラクルは5月17日、開発者の祭典「Oracle Code Tokyo 2019」を開催した。マダムと高級外車が似合う街、東京・白金台のシェラトン都ホテル東京が会場だったが、出で立ちはカジュアル系からスーツ組まで千差万別、いやむしろジーンズの人が目立ち、年齢も若手からベテランと幅広い。考えてみれば、本イベントの話題の中心は、Javaだ。1995年に誕生し世界で最も普及していると称されるプログラミング言語だけに「Javaコミュニティ」を形成する人々の多様性とオープンマインドを考えればこの客層は当然と言えば当然であった。 イベントのオープニングを飾る基調講演は、Javaの開発責任者である米Oracleのジョージ・サーブ氏。「Javaの未来」というテーマでの講演。内容は大きく分けて2つ。（1）新しいJavaの提供方法とバージョンアップポリシー、（2）新機能を盛り込むプロジェクトの説明、を聞く
Oracle JREの商用利用時の無償版EOLの話をするには、政府CIOの「Javaのサポートポリシー変更等に関する技術レポート」がオススメ - Togetter
Takahiro YAMADA @yamadamn JREを含む無償アップデート終了の話をするには、政府CIOの「Javaのサポートポリシー変更等に関する技術レポート」を提示すればよい気がしてきた。 cio.go.jp/sites/default/… 流れとして2018年3月にJava Client Roadmap Updateのホワイトペーパーが発行され、5月に先の技術レポートが出ている。 2019-04-26 22:52:06 Takahiro YAMADA @yamadamn Oracle JREの無償アップデート終了について利用者がインストーラで目につくようになったのは2019年1月だったはずで、これは遅いと思ってる。 ただ、商用利用ならシステム提供者が情報収集して代替手段を講じるべきで、アプレット非推奨なんて3年以上前から言われてきたこと。 blogs.oracle.com/ja
AWS版OpenJDKの「Amazon Corretto 8」正式版リリース。少なくとも2023年6月まで無償でアップデート提供
AWS版OpenJDKの「Amazon Corretto 8」正式版リリース。少なくとも2023年6月まで無償でアップデート提供 Amazon Web Services（AWS）は、Java 8に対応する独自ビルドのOpenJDKディストリビューション「Amazon Corretto 8」正式版のリリースを発表しました。無償で提供されます。 Amazon Correttoは2018年11月に、Java 8に対応する「Amazon Corretto 8」とJava 11に対応する「Amazon Corretto 11」の2つが発表され、プレビュー版として提供されてきました。 今回はそのうちAmazon Corretto 8が正式版になりました。 Amazon Corretto, our no-cost, multiplatform, production-ready distribution
2段階方式で脱Java、JACICがオラクルと特別契約 | 日経 xTECH（クロステック）
米オラクルがJava SE 8の無償サポートを終了するのに伴い、企業に比べ遅れ気味だった中央省庁などが対象システムの刷新に動き出した。行政機関が重い腰を上げたことで、「脱Java」の動きが広がる可能性がある。 米オラクルはJavaの開発・実行環境「Java SE 8」における商用向け更新版の無償サポートを2019年1月に終了し、不具合や脆弱性の修正プログラムの無償提供を終える。企業や組織がJavaを安全に使い続けるには、同社と有償のサポート契約を結ぶか、Javaをバージョンアップする必要がある。 企業の情報システムはもちろん、実は中央官庁などの行政機関が使うシステムの中にはJavaで開発したものが多く、影響が大きい。例えば建設業界向けシステムを運用する一般財団法人、日本建設情報総合センター（JACIC）は無償サポート終了後に2段階で対応を進める。対象は「電子入札コアシステム」。行政機関が電
OpenJDK完全互換、Amazon Correttoは信用できるのか - orangeitems’s diary
AWSが、OracleJDK互換提供に手を挙げる OracleJDKはバージョン11以降完全に有償サブスクリプションモデルに契約が変更され、バージョン8は2019年1月でOracleのサポートが終了します。また、9や10はすでにサポート切れです。かたや、無償版と言われるOpenJDKはサポート期間が半年しかないとされ、法人を中心にJavaとどうやってつきあっていくかが大きな課題となっています。 この状況で、AWSがOpenJDK互換、しかも長期サポート（LTS）を約束するAmazon Correttoを出すというニュースが飛び込んできました。 dev.classmethod.jp 「無償」かつ「AWS以外でも使えるマルチプラットフォーム」かつ「LTS（Long-Term Support）」つきのOpenJDKをAWSが提供するとのことです。 現在はプレビュー版ですが、対応プラットフォームに
AWSが独自のOpenJDK「Amazon Corretto」発表。AWS内部で使っていたJavaを外部提供へ。Java 8は2023年まで、Java 11は2024年まで無償でLTSを提供
AWSが独自のOpenJDK「Amazon Corretto」発表。AWS内部で使っていたJavaを外部提供へ。Java 8は2023年まで、Java 11は2024年まで無償でLTSを提供 Amazon Web Services（AWS）は、OpenJDKのディストリビューション「Amazon Corretto」を発表しました。 Introducing Amazon Corretto – No-cost, multiplatform, production-ready distribution of OpenJDK! #corretto @Devoxx https://t.co/IFgyCXclRr pic.twitter.com/nIW5M6CIMX — AWS Open Source (@AWSOpen) 2018年11月14日 CorrettoはJavaでLTSが提供される2つのバ
マルチプラットフォームで利用可能なOpenJDKのAmazon Correttoが発表されました！ | DevelopersIO
マルチプラットフォーム（ubuntu、RHEL、Windows、MacOS）対応のLTSがついたOpenJDK互換のJavaリリースのアナウンスです！ しばらく前に、Amazon LinuxでのJavaのLTSが発表され大きな話題となりました。 Amazon LinuxでのJavaのLTS (Long-Term Support)提供について 「ほぇー、AWSもやりおるやんけ！！」と感慨にふけっていたら、それの100倍ぐらい衝撃的なニュースが、Javaの神様James Goslingのツイートで飛び込んできました。 Just announced #amazon #Corretto at #devoxx. It is our distribution of OpenJDK. https://t.co/09cuPEqnex — James Gosling (@errcraft) 2018年11月
Red HatのOpenJDKのサポート - nekop's blog
更新: Red Hat Enterprise Linux 7.6でOpenJDK 11が追加されました。現在のサポート期間は2024/10までです。 【JDK 11 リリース直前】各ベンダーのJDKリリースモデル特集！というイベントがあってRed Hatさんもどうですか、ってお誘いが来たんですが予定が入っており参加できなかったのでエントリを書いておきます。 Red Hat Enterprise Linux (RHEL)には商用サポートされるOpenJDKパッケージが含まれています。RHELのサブスクリプション費用に含まれており、OpenJDKのサポートには追加の費用はかかりません。yum install java-1.8.0-openjdkのようにパッケージをインストールすれば使えます。 OpenJDKのサポート期間についてはOracle社の影響が大きいという側面があり、RHELのサポート
電子入札が使えなくなる恐れ、波紋呼ぶJavaサポート打ち切り
米オラクルは2018年1月30日（米国時間）、Javaの開発・実行環境「Java Platform, Standard Edition（Java SE）」の商用向け更新版を公式ダウンロードサイトで提供するのは2019年1月までだと公式ブログで発表した。無償サポートは打ち切りになり、商用で更新版を使い続けるには有償サポートを受けるしかなくなる。 この決定に対し、自治体関係者らの間に不安が広がっている。Java実行環境（JRE）を使う自治体の電子入札システムなどが情報セキュリティを理由に使えなくなる恐れがあるためだ。 セキュリティポリシーに抵触 特に影響が大きいとみられるのが日本建設情報総合センター（JACIC）が提供する「電子入札コアシステム」だ。 自治体はJACICのコアシステムをカスタマイズして利用している。コアシステムはJREを使っており、同システムを利用する全ての自治体が影響を受ける
迫るサポート終了、Javaシステムは見直し必至
基幹系システムの開発など、企業向けシステムでJavaが本格的に採用され始めたのが2000年代前半。15年以上経った今も、Javaは企業システム開発では欠かせない言語の一つとなっている。そんなJavaが今、岐路を迎えている。その一つが、Javaの新版で大きな仕様変更があることだ。 2017年9月21日、デスクトップ向けJavaの標準仕様である「Java Standard Edition（SE）」の新版「Java SE9」が登場する予定だ。「これまでのJavaの機能強化を振り返ると、今回のバージョンアップは非常に大きな変化だ」。Java SE9について、日本オラクルの伊藤 敬氏（クラウド・テクノロジー事業統括 Fusion Middleware事業統括本部 ビジネス推進本部 担当シニアマネジャー）はこのように強調する。 Java SE9の目玉は、これまで一体となっていたライブラリを分割して導入
例えば、Strutsを避ける
はじめに 筆者は10年以上ウェブアプリケーション開発を主な業務とするJavaプログラマであったにも関わらず、Strutsについてはこれまでずっと食わず嫌いでした。初期のStrutsは「XMLだらけで効率が悪そう」というイメージが強かったためです。最近はRuby on Rails等の影響を受けCoC(convention over configuration)を採り入れ、XML地獄もだいぶ解消したようです。 StrutsはJavaアプリケーションらしくない種類（任意のコード実行等）の脆弱性を連発することでも知られており、最近は我々の提供するSaaS型WAFサービス、Scutum(スキュータム)のお客様からも頻繁にStrutsについての問い合わせを受けるようになりました。また、去年見つかった任意のコード実行の脆弱性では、脆弱性の公表後すぐにPoCが出回り実際に攻撃が発生するなど、悪い意味で注目
Red Hat、OpenJDKのWindows版「OpenJDK 8 for Windows」ディストリビューションをリリース。RHEL版と100％互換を保証
Red Hatはオープンソースで開発されたJava SEのWindows版「OpenJDK 8 for Windows」のRed Hatによるディストリビューションを発表しました。 OpenJDK 8 for WindowsはLinux対応のOpenJDK8と完全な互換性を保証しており、Windows版で開発したアプリケーションはそのままLinux版でも動作保証されます。 All Red Hat distributions of OpenJDK 8 on Windows are supported for development purposes, so that you have the convenience and confidence to develop and test in Windows or Linux-based environments and deploy your
追記（19日）東洋経済オンラインの的外れ記事 / 高木浩光＠自宅の日記 - 治外法権のeLTAX、マルウェア幇助を繰り返す無能業者は責任追及されて廃業に追い込まれよ
■ 治外法権のeLTAX、マルウェア幇助を繰り返す無能業者は責任追及されて廃業に追い込まれよ ここ数年、不正送金の被害がインターネットバンキングの法人口座で急増しているという*1。その原因は今更言うまでもなく、Java実行環境（JRE）やAdobe製品の古いバージョンの脆弱性を突いてくるマルウェアである。しかしそれにしても、法人口座を扱うパソコンがなぜ、Java実行環境やAdobe製品をインストールしているのだろうか。インストールしなければ被害も起きないのに……。 その謎を解く鍵が、eLTAX（地方税ポータルシステム）にあるようだ。eLTAXでは、インターネットバンキングの口座を用いた納税ができることから、インターネットバンキング用のパソコンでeLTAXの利用環境も整えるということが普通になっていると思われる。そのeLTAXが、昨日までは、Java実行環境のインストールを強要していた。eL
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
JDKの選択肢とサーバーサイドでの選び方
行政機関が脱Java加速か 入札システムなどの刷新が始動 | 日経 xTECH（クロステック）
