[2022-04-19 JST Windows/Linuxによる保護セクションを更新] CVE-2022-22965: Spring Coreにリモートコード実行脆弱性(SpringShell)、すでに実際のエクスプロイトも
表2 Spring Core Remote Code Execution Vulnerabilityシグネチャをトリガーした接続元IP上位15 Spring Core Remote Code Execution Vulnerabilityのシグネチャをトリガーした31,953個のパケットキャプチャを解析し、エクスプロイトに成功した場合にサーバーに保存されるWebシェルのファイル名とWebシェルのコンテンツとを特定しました。多くの場合、Webシェルのファイル名には .jspという拡張子が与えられていました。これによりインストールしたWebシェルが有効に機能するようになります。ただし多くのケースではファイル名にはWebシェルには対応しない拡張子、たとえば .jsや.txtといった拡張子が与えられていました。これらはおそらく脆弱なサーバーの発見のためにファイルアップロード成功可否を示す目的で使用
![[2022-04-19 JST Windows/Linuxによる保護セクションを更新] CVE-2022-22965: Spring Coreにリモートコード実行脆弱性(SpringShell)、すでに実際のエクスプロイトも](https://cdn-ak-scissors.b.st-hatena.com/image/square/d25c19a3d8418ccb30278cf721feceec16fa4598/backend=imagemagick;height=288;version=1;width=512/https%3A%2F%2Funit42.paloaltonetworks.com%2Fwp-content%2Fuploads%2F2024%2F06%2F01_Vulnerabilities_1920x900.jpg)
Spring Frameworkの任意のコード実行の脆弱性（CVE-2022-22965）について
(1) 概要 2022年3月31日（現地時間）、VMwareはSpring Frameworkの任意のコード実行の脆弱性（CVE-2022-22965）に関する情報を公開しました。Spring Frameworkは、JavaのWebアプリ開発を行うためのフレームワークの1つです。本脆弱性が悪用された場合、遠隔の第三者が任意のコードを実行する可能性があります。 VMwareは、本脆弱性に関する報告を受け取った後、調査および修正対応中に脆弱性の詳細が公開されたと明らかにしています。JPCERT/CCは、本脆弱性を実証するとみられるコードや詳細を解説する記事がすでに複数公開されている状況を確認していますが、現時点では具体的な被害事例や報告は確認していません。 本脆弱性の影響を受ける環境には条件があり、今後も追加情報が公開される可能性があります。引き続き、VMwareなどからの情報に注視いただきな
Javaフレームワーク「Spring」の「Cloud Function」に脆弱性、未確認のさらなる脆弱性についても指摘が
Javaアプリケーションフレームワーク「Spring」の、サーバーレス実行環境「Spring Cloud Function」における脆弱性が報告された。また、この他に「Spring Framework」のコアにも深刻とされる脆弱性の存在が指摘されているが、日本時間3月31日時点では未確認。 今回報告された脆弱性（CVE-2022-22963）では、Spring Cloud Functionのバージョン3.1.6と3.2.2、およびそれ以前のサポートされていない古いバージョンにおいて、ルーティング機能を使用している場合、特別に細工された「SpEL」によって、ローカルリソースへのアクセスを許してしまう可能性がある。脆弱性の影響は「中程度」。 既にこれに対応したバージョン3.1.7と3.2.3がリリースされており、更新が推奨されている。 また、Spring Frameworkのコアにも、リモート
Spring Core on JDK9+ is vulnerable to remote code execution
Update: March 31, 2022 A patch has officially been released. https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement https://tanzu.vmware.com/security/cve-2022-22965 Overview Spring Core on JDK9+ is vulnerable to remote code execution due to a bypass for CVE-2010-1622. At the time of writing, this vulnerability is unpatched in Spring Framework and there is a public proof-of-conce
CVE-2022-22965: Spring Core Remote Code Execution Vulnerability Exploited In the Wild (SpringShell) (Updated)
Executive Summary Recently, two vulnerabilities were announced within the Spring Framework, an open-source framework for building enterprise Java applications. On March 29, 2022, the Spring Cloud Expression Resource Access Vulnerability tracked in CVE-2022-22963 was patched with the release of Spring Cloud Function 3.1.7 and 3.2.3. Two days later on March 31, 2022, Spring released version 5.3.18 a
Javaニュース総まとめ: Spring Framework 6.0とSpring Boot 3.0のロードマップ、OpenJDKとQuarkusのアップデート
あなたにとって重要なトピックや同僚の最新情報を入手しましょう最新の洞察とトレンドに関する最新情報を即座に受け取りましょう。 継続的な学習のために、無料のリソースに手軽にアクセスしましょうミニブック、トランスクリプト付き動画、およびトレーニング教材。 記事を保存して、いつでも読むことができます記事をブックマークして、準備ができたらいつでも読めます。
JDKの新しいリリース・モデル、および提供ライセンスについて
JDKの新しいリリース・モデ および提供ライセンスについて オラクルは2017年9月、JDKの提供サイクルとライセンス方式に関して、新たなリリース・モデルを発表しました。 これらはJDK 9より一部が適用され、2018年9月に公開されたJDK 11で完全移行しました。新リリース・モデルはJDKの過去のリリース・モデルの課題を解決したものであり、ユーザーにより多くのメリットをもたらします。本記事では、新たな提供サイクルとライセンス方式の概要、およびオラクルによるJDKの有償サポートについて説明します。 本記事で説明する新リリース・モデルのポイント 初めに、本記事で説明するJDKの新リリース・モデルに対応したオラクルのバイナリ・リリースの主なポイントを列挙します。 ●年6回の定期リリース・サイクル 新機能が追加される6カ月に1回(毎年3月と9月）のフィーチャー・リリースに加え、脆弱性対策などを
Facebook、静的解析ツールInferをオープンソース化
あなたにとって重要なトピックや同僚の最新情報を入手しましょう最新の洞察とトレンドに関する最新情報を即座に受け取りましょう。 継続的な学習のために、無料のリソースに手軽にアクセスしましょうミニブック、トランスクリプト付き動画、およびトレーニング教材。 記事を保存して、いつでも読むことができます記事をブックマークして、準備ができたらいつでも読めます。
JDK7およびJDK8のリリース計画 | エンタープライズ | マイコミジャーナル
Java Programming Language Javaプラットフォームグループでチーフアーキテクトを務めるOracleのMark Reinhold氏がRe-thinking JDK 7 - Mark Reinhold’s Blogにおいて、JDK7およびJDK8の新しいリリース計画案を発表した。Sun MicrosystemsがOracleに買収される以前の計画では、JDK7は2009年後期にリリースされる予定になっていたが、ご覧のとおりこの計画通りには進まなかった。JDK6がリリースされて以来、Javaは開発段階にあり次のメジャーバージョンをリリースできないでいる。 こうした状況を受け、Mark Reinhold氏は次の2つのプランを提案。 プランA: 現行のJDK7案をそのまま進める。2012年中期でのリリースが見込まれる。 プランB: 現行のJDK7案からまだ開発に時間が必要と
"Javaの父" ジェームス・ゴスリング氏がOracleを退社 | 経営 | マイコミジャーナル
Java言語の生みの親として広く知られるJames Gosling氏が、4月2日(米国時間)にOracleを退職していたことを個人ブログで明らかにした。 Gosling氏は90年代前半にSun MicrosystemsにおいてJava言語の設計に携わり、その功績から"Javaの父" と目されるようになった。今年1月末にOracleによるSun買収完了が発表された直後、同氏がブログにDukeとTuxがSunの墓標にたたずむ意味深長な画像をアップしたことが話題に。その後、SunでCEOを務めていたJonathan Schwartz氏やXML開発者の1人Tim Bray氏などSunのキーパーソンが次々にOracleを去り、Gosling氏の去就も注目されていた。 Oracle退社に至った理由については「Time to move on...」というブログ書き込みの中で「答えにくい。私の言葉はおおよ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Java News Roundup: Roadmap for Spring 6.0 and Spring Boot 3.0, OpenJDK and Quarkus Updates
Java News Roundup: JDK 17 Initial RC, OpenJDK, Updates to Open Liberty, Hibernate ORM, Spring Cloud