【セキュリティ ニュース】マルウェア「Kinsing」、脆弱な「Apache Tomcat」サーバを攻撃の標的に（1ページ目 / 全1ページ）：Security NEXT
クラウドインフラを狙い、コインマイナーを実行することで知られるマルウェア「Kinsing」が、「Apache Tomcat」をあらたなターゲットとしていることがわかった。 「Kinsing」は、暗号資産（仮想通貨）のマイニングを行うコインマイナーの「h2miner」を実行したり、他コンテナやホストにマルウェアを拡散することでも知られるGo言語ベースのマルウェア。 これまでも、WordPress向けプラグインに判明した脆弱性「CVE-2020-25213」を悪用した攻撃や、設定ミスにより開放された「Docker」のAPIポートを狙い、悪意あるコンテナを起動するといった攻撃が確認されている。 さらには「Apache ActiveMQ」の脆弱性「CVE-2023-46604」を突く活動や、「GNU Cライブラリ（glibc）」に判明した「Looney Tunables」としても知られる権限昇格の
Java 20新機能まとめ - Qiita
Java 20が2023/3/21にリリースされました。 https://mail.openjdk.org/pipermail/jdk-dev/2023-March/007517.html The Arrival of Java 20! 今回、正式導入された大きな機能はありません。プレビューとしても新しいものはScoped Valueひとつだけです。次回Java 21がLTSなので、ウォーミングアップなバージョンという感じですね。 詳細はこちら JDK 20 Release Notes Java SE 20 Platform JSR 395 OpenJDK JDK 20 GA Release APIドキュメントはこちら Overview (Java SE 20 & JDK 20) 追加されたAPIまとめはこちら https://docs.oracle.com/en/java/javase/
Java SEに脆弱性 数が多く影響範囲広く 早急に対策を
Javaの基本的なAPIをまとめた「Oracle Java SE」に複数の脆弱性が見つかったとして、情報処理推進機構（IPA）とJPCERT/CCは1月18日、早急に修正パッチを適用するよう注意を呼び掛けた。 脆弱性が見つかったのは「Oracle Java SE 19.0.1」「Oracle Java SE 17.0.5」「Oracle Java SE 11.0.17」「Oracle Java SE 8 Update 351-perf」「Oracle Java SE 8 Update 351」。 脆弱性の数が多く、攻撃された場合の影響が大きい。JPCERT/CCはJava SEを活用する製品を使っている場合もあるとして。利用中のPCやサーバに対象となる製品が含まれていないかも確認するよう促している。 関連記事 つながるクルマ、自動運転車に潜む脆弱性 不正な遠隔操作でロック解除や始動も 米ラ
Javaアプリフレームワーク「Spring」に複数の脆弱性報告--未確認情報の交錯も
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Javaアプリケーションフレームワーク「Spring」において、サーバーレス実行環境の「Spring Cloud Function」で脆弱性が報告された。これとは別に「Spring Framework」コアにも深刻だとする脆弱性の存在が指摘され、情報が交錯している。 VMwareの情報によると、Spring Cloud Functionのバージョン3.1.6および3.2.2とサポートが終了している古いバージョンでは、ルーティング機能を有効にしている場合に、細工された「SpEL」によって、ローカルリソースへのアクセスを許容してしまう脆弱性（CVE-2022-22963）が存在する。 この脆弱性を修正したSpring Cloud Funct
Spring4Shell: Security Analysis of the latest Java RCE '0-day' vulnerabilities in Spring | LunaTrace
Getting Spring to load BinderControllerAdvice may require manual steps to have it load. We'll update this guide with more details about how to do that soon. import org.springframework.core.Ordered; import org.springframework.core.annotation.Order; import org.springframework.web.bind.WebDataBinder; import org.springframework.web.bind.annotation.ControllerAdvice; import org.springframework.web.bind.
オラクル、JavaやJavaScript、Ruby、Pythonなど多言語対応を単一ランタイムで実現する「GraalVM」をオープンソースで公開。Twitterが本番環境で採用
オラクル、JavaやJavaScript、Ruby、Pythonなど多言語対応を単一ランタイムで実現する「GraalVM」をオープンソースで公開。Twitterが本番環境で採用 JavaやJavaScriptなどには、それぞれその言語を実行するためのランタイムが存在します。JavaならJavaVM、JavaScriptならJavaScriptエンジンといった具合です。 米オラクルがオープンソースで公開した「GraalVM」は、これまで言語ごとに個別に用意されていたランタイムを統合し、単一の高性能なVMにするという同社の研究の結果開発された汎用仮想マシンあるいは汎用ランタイムです（米オラクルのブログ、日本語訳）。 GraalVMのWebサイトには、次のような説明が記されています。 GraalVM is a universal virtual machine for running appli
Introducing Amazon Corretto, a No-Cost Distribution of OpenJDK with Long-Term Support | Amazon Web Services
AWS Open Source Blog Introducing Amazon Corretto, a No-Cost Distribution of OpenJDK with Long-Term Support Update! Amazon Corretto became Generally Available on January 31st, 2019. Java is one of the most popular languages in use by AWS customers, and we are committed to supporting Java and keeping it free. Many of our customers have become concerned that they would have to pay for a long-term sup
Javaの謎のパフォーマンス劣化現象との戦い - Cybozu Inside Out | サイボウズエンジニアのブログ
こんにちは。アプリケーション基盤チームの横田です。 Javaの謎のパフォーマンス劣化にまつわる調査をしていたのですが、1ヶ月の苦労の末に原因がわかりましたので、報告させていただきます！ 公開後に頂いたはてなブックマークでのご指摘・社内でのタイポ・読みにくいなどの指摘を受けてたので、謹んで修正させいただきます。 修正した内容につきましては、記事の最後を参照してください。 忙しい人のためのまとめ jdk-7u4以降のjdk-7 *1 でJavaのパフォーマンスが劣化する謎の現象 CodeCacheの容量限界に近づくとJITコンパイラを停止してコンパイルしたコードを捨てる機能が原因だった 起動オプションで回避できるので、長期運用するときは -XX:-UseCodeCacheFlushing, -XX:ReservedCodeCacheSize=128m をつける 上のオプションを設定した時に、C
Java8のHotSpotVMからPermanent領域が消えた理由とその影響 | ギークを目指して
今回も前回の記事につづき、Java8による変更点で未だあまり紹介されていないポイントを記事にしようと思う。 今回はJava8のHotSpotVMの話。Java8ではJEP122が取り込まれ、VMのメモリモデルが変更された。JEP122のタイトル「Remove the Permanent Generation」から想像できるとおり、Java8のHotSpotVMからは従来のPermanent領域が無くなった。 なぜ、こういった変更が行われたのだろうか？また、元々Permanent領域に格納されていた情報は何処にいってしまったのか？JVM付属のツールにどういった影響があるのか？ 今回の記事ではこの点をまとめていこうと思う。 なお、HotSpotVMのメモリモデルについて詳しくない方は、先にこちらの項番（「補足 – HotSpotVMのメモリ構造概説）を読んでいただくとスムーズに読み進められるだ
Page not found - ファイヤープロジェクト
The page you are trying to reach does not exist, or has been moved. Please use the menus or the search box to find what you are looking for.
Javaの内部動作を可視化する「ENdoSnipe」、Acroquest TechnologyがOSSとして公開
Acroquest Technologyは2013年7月11日、Javaシステムの内部動作を可視化・診断するソフトウエア「ENdoSnipe Ver.5.0」をオープンソースとして公開したと発表した。Ver.4まではプロプライエタリな製品だった。ダウンロード・サイトおよびGitHubのページからダウンロードできる。 新版の診断機能には、同社が提供するJavaシステムのトラブルシューティング・サービス「JaTS」での障害解析のノウハウを組み込んだという。アプリケーションの性能を監視する機能も追加した。従来版はEclipseプラグインとしてユーザーインタフェース（UI）を実現していたが、新版はWebベースのUIに変更されている。 診断機能では、メモリリークやハングアップリスク、非効率なデータベース・アクセスなどを検出する。プロファイラやデバッガとは異なり、問題が発生する具体的な理由まで指摘でき
JavaのexecメソッドでOSコマンドインジェクション脆弱性は入るのか
とある記事の検証をしていて、Javaのexecメソッドで記述されたOSコマンドインジェクションのサンプルに出会いました。しかし、このサンプルは現在では脆弱性がないようです。これについて、何人かの方からコメントでご教授いただきました。ありがとうございました。
『HTTPクライアント』
●考慮しなければならないポイント プロクシサーバ設定 プロクシサーバ認証 オレオレ証明書サーバ 認証サーバ ●はまりポイント オレオレ証明書サーバ なんにも対処しないとこんなエラーになる。 IOException:javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target 対処としては、オレオレ証明書を無条件に信頼するTrustManagerを設定するか、keytoolでjre/lib/security
第20回 Javaアプリケーション向けの認証フレームワーク「Apache Shiro」 | gihyo.jp
使いやすい認証機構を実現する「Apache Shiro」 今回取り上げる「Apache Shiro」は、Javaアプリケーション向けに開発された認証と承認のためのオープンソースのフレームワークです。Shiroを使うことで、ログインなどの認証の仕組みや、アクセス管理、セッション管理などといった機構を、容易にアプリケーションに付け加えることができるようになります。 JDKにはJAAS（Java Authentication and Authorization Service）という認証・承認サービスが用意されていますが、JAASで提供されるAPIはあまり使い勝手が良くなく、わかりにくいという意見が大多数を占めていました。ShiroはJAASよりも理解しやすく、簡単に利用できる認証・承認の仕組みを提供する目的で開発されました。Shiroを利用するメリットとしては次のようなものが挙げられています。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Apache Tomcat」に特定条件下で誤ったクライアントへレスポンスを返す脆弱性／深刻度は「High」
オラクルがJavaエヴァンジェリストを削減
Java SE 8 lambdaで変わるプログラミングスタイル - きしだのHatena
はてなブログ | 無料ブログを作成しよう
Java コードから Java ヒープまで
Java コーディングスタンダード CERT/Oracle 版
