デシリアライズを利用したリモート実行可能な Java ゼロデイエクスプロイット
Foxglove Security は、2015年1月に @frohoff と @gebl が発表した"AppSecCali: Marshalling Pickles" (動画, スライド)を分析した最近の報告で、複数のゼロデイ、リモート実行できるエクスプロイットの存在を認めた。信頼されないネットワークソースで Apache Commons Collections, GroovyやSpring のようなライブラリを使ってオブジェクトをデシリアライズする Java アプリケーションの中に見つかったものである。多くのアプリケーションサーバがデータストリームやクッキー値からオブジェクトのデシリアライズをサポートするようになったため、エクスプロイットコードが HTTP リクエストを通じてファイアウォールやスキャナの裏にあるサーバで実行できるのは自明のことである。 Apache Commons Co
commons-collectionsのInvokerTransformer脆弱性について - R42日記
2015-11-12 追記あり。「SpringとGroovyにも直列化オブジェクト脆弱性」も参照してください。 昨日からJava界隈で話題になっているcommons-collectionsの脆弱性について。 元ネタはこちら。 対応するチケットはこちら。 InvokerTransformerなんてクラスは初めて知りましたが、そりゃこういうことになりますよねぇ…というのが感想です。 影響を受けるシステム InvokerTransformerはcommons-collectionsとcommons-collections4の両方に存在しています。 いずれかのライブラリ(commons-collections.jarまたはcommons-collections4.jar)がクラスパスに存在しているとき、 以下のいずれかの条件を満たしていると攻撃が成立する可能性があります。 直列化したオブジェクトを
Javaライブラリに脆弱性、主要ミドルウェア全てに影響
WebLogic、WebSphere、JBoss、Jenkins、OpenNMSのそれぞれについて、いずれも最新版でこの脆弱性を突いてリモートでコードを実行できるコンセプト実証コードも公開された。 WebLogicやWebSphereなどの主要ミドルウェア全てに影響を及ぼすというJavaライブラリの脆弱性情報とコンセプト実証コードが公開された。いずれの製品についても、まだパッチは公開されていないという。 この情報は、情報セキュリティの専門家でつくるFoxGlove Securityが11月6日のブログで紹介した。脆弱性はJavaの「common-collections」ライブラリに存在していて、WebLogicなどのほか、企業のカスタム版のアプリケーションにも影響を及ぼすと指摘している。 コンセプト実証コードは9カ月以上前に公開されていたにもかかわらず、これまであまり注目されることはなく、
Groovy Projects intends to join the Apache Software Foundation
Groovy Projects intends to join the Apache Software Foundation The Groovy team is happy to announce its intention to join the Apache Software Foundation (ASF). Following up the recent announcement from Pivotal to end funding of full time developers for the Groovy programming language project, the team thought it would be appropriate to demonstrate to the Groovy community that the project is here f
Apache MetaModel
MetaModel isn't a data mapping framework. Instead we emphasize abstraction of metadata and ability to add data sources at runtime, making MetaModel great for generic data processing applications, less so for applications modeled around a particular domain. News Looking for the changelog? Check out our CHANGES.md file. 2021-02-23 MetaModel release 5.3.3 - Improvements to Elasticsearch and Fixed Wid
Commons CSV – Home
Commons CSV Overview Download User Guide Javadoc Javadoc Archive Development History Mailing Lists Issue Tracking Team Source Project Documentation Project Information About Summary Team Source Code Management Issue Management Mailing Lists Dependency Information Dependency Management Dependencies Dependency Convergence CI Management Distribution Management Project Reports Commons Home License Com
Apache Log4j 2.0 - Worth the Upgrade?
The InfoQ Trends Reports 2023 eMag The InfoQ trends reports provide a snapshot of emerging software technology and ideas. We create the reports and accompanying graphs to aid software engineers and architects in evaluating what trends may help them design and build better software. Our editorial teams also use them to help focus our content on innovator and early adopter trends.
Log4j –
Appenders targeting files, network sockets, databases, SMTP servers, etc. Layouts that can render CSV, HTML, JSON, Syslog, etc. formatted outputs Filters that can be configured using log event rates, regular expressions, scripts, time, etc. Lookups for accessing system properties, environment variables, log event fields, etc. API separation The API for Log4j (i.e., log4j-api) is separate from the
Vagrant CloudのVagrant Shareを試してみたら凄すぎて鼻血出た - 憂鬱な世界にネコパンチ！
Vagrant 1.5がリリースされたと思ったら、Vagrant Cloudなんてのが登場してますね！ で、Vagrant Cloudの中にVagrant Shareってのがあるんだけど、試してみたらとんでもなかったので、早速やり方をシェアするよ！ Vagrant Cloudにユーザ登録 Vagrant Cloudのページにアクセスして、まずはユーザ登録しよう。 迷うことはないと思うけど、「JOIN VAGRANT CLOUD」ってボタンをクリックすれば登録ページに飛べる。 次に、ユーザ名、メールアドレス、パスワードを入力したらユーザ登録は完了だ。 Vagrant1.5のインストール Macの場合は普通にダウンロードページからdmgファイルを落として、ダブルクリックでインストール。 念のため、確認。 $ vagrant -v Vagrant 1.5.0 Vagrantfile作成＆仮想マシ
検索エンジンLuceneの歴史とこれから - ワザノバ | wazanova
http://www.youtube.com/watch?v=5444z-L2V2A 1 comment | 0 points | by WazanovaNews ■ comment by Jshiike | 約3時間前 Luceneのオリジナルの開発者であるDoug Cutting（ClouderaのChief Architectと Apache Software FoundationのDirectorを兼務）が、Luceneの歴史と今後の展開を紹介しています。 検索サイトExciteに勤務していた1997年に開発開始。当時新しくでてきたJavaを使ってみたかった & ネットバブルが弾けるのが不安で何かかたちに残るものをつくっておきたかった。2000年にオープンソースとして提供。Solrは2006年、Solr Cloudが2012年。昨年にはHadoopプラットフォームの検索エンジンに
Apache Tomcat 8 (8.0.53) - Documentation Index
This is the top-level entry point of the documentation bundle for the Apache Tomcat Servlet/JSP container. Apache Tomcat version 8.0 implements the Servlet 3.1 and JavaServer Pages 2.3 specifications from the Java Community Process, and includes many additional features that make it a useful platform for developing and deploying web applications and web services. Select one of the links from the n
組み込みTomcatを使ってみる - CLOVER🍀
Tomcat 7から、組み込み版のTomcat APIができていたのは知っていましたが、なんとなく気にはなるものの、触ってこなかったのでちょっと試してみました。 技術者が知っておきたいTomcat 7の新機能20連発 (2/3) http://www.atmarkit.co.jp/ait/articles/1106/24/news113_2.html http://dev-blog-eq-diary.blogspot.jp/2012/04/tomcat-jetty.html http://www.copperykeenclaws.com/embedding-tomcat-7/ アプリケーションサーバとしてのTomcatを用意しなくても、簡単にサーブレットが使えるときっと便利だよね！という発想から始めたのですが、思った通りにいかない部分も…。 で、今回は、Groovy＋Gradleでやりまし
Apache C++標準ライブラリが終了したそうだ
江添亮 自由ソフトウェア主義者 C++ Evangelist C++標準化委員会の委員 ドワンゴ社員 C++11本を執筆した。 株式会社ドワンゴで働いている。 Mail:boostcpp@gmail.com Twitter:@EzoeRyou GitHub: https://github.com/EzoeRyou 江添亮のマストドン@EzoeRyou 筆者にブログのネタを提供するために、品物をアマゾンお気に入りリスト経由で送りたい場合： Amazon.co.jp: 江添亮: 江添のほしい物リスト 筆者にブログのネタを提供するために、直接に品物を送りたい場合、住所をメールで質問してください。 View my complete profile ► 2020 (31) ► December (2) ► November (2) ► September (2) ► August (4) ► Jul
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Commons Text – Home
RNG – Commons RNG
Commons Weaver – Apache Commons Weaver
JAXenter - Java Development & Software Architecture
Apache Logging Services
Commons Weaver – Apache Commons Weaver
Spark Officially Graduates From Apache Incubator