サイボウズ Live アクセス障害の裏で起こっていたこと - Cybozu Inside Out | サイボウズエンジニアのブログ
どうも！アプリケーション基盤チームの@yokotaso です。 2017/11/13 にサイボウズLiveの長時間にわたる障害が発生しご迷惑をおかけしました。 技術的な調査が一段落し、対応を進めております。 障害にいたった原因と対応のお話をさせていただきます。 簡単なまとめ Java8u152以降で、CPU負荷が高まる現象 Java標準のデシリアライズとSecurity Managerの相性が悪くなった 解決策は現時点では存在しない。サイボウズLiveでは、Java標準のデシリアライズをやめる準備段階 障害発生時の状況 障害発生の数時間前に、運用マシンのメンテナンスを行っておりました。 Javaのマイナーアップデート カーネルのアップデート その他、設定ファイルなどの更新 障害発生時には次のような現象が見られました。 JavaプロセスがCPU高負荷状態 MySQLに大量のロック及びエラーが
SunJCE の Diffie-Hellman アルゴリズムで 1024 ビットを超える素数が使えない
何か問題が解決したとか, いろいろ苦労した軌跡を残したいとか, そういうわけではありません. 昨年, JCE を使って Diffie-Hellman をやってみる (27 Oct 2013) という記事で触れたことの再確認に過ぎません. すでに Java SE 8 がリリースされてしまいましたが, まだ試していません. プライベートでは Java SE 7 を使っています. (もちろん, 仕事では, ほぼすべてのお客様が Java SE 7 すら使用禁止です. そもそも, クライアント PC も 20,000 台のうち半数は Windows XP + Internet Explorer 6 のままだという金融機関様もいらっしゃったりしますし... まあ何と言うか...) さて, 数日前にアップデートがリリースされたので, JDK 7u55 を使って少しためしてみました. package t
JavaのJDK/JRE/Server JREの使い分け - ろば電子が詰まつてゐる
先日、OracleのWebページからJDKとJREをダウンロードしようとしたら、「Server JRE」というのが用意されていることに気がついた。 このServer JREとは、いったい何じゃらほい? というのが今回のテーマ。なお基本的にLinuxサーバ環境で考えます(Windows, Solarisは無視)。 JDKとJRE はじめに、複雑怪奇なJavaパッケージについて少し解説しておく。「Javaをインストール」という場合には、開発キットであるJDKとランタイムであるJRE、どちらをインストールするかが問題になる。しかしこの日記を読んでいるような人ならばJava開発者であろうから、JDKを入れてしまえばほぼ間違いなく問題は解決する。 なぜなら、JDKはJREを内包しているので、JDKをインストールすれば自動的にJREも入るからである。というわけで開発者なら、何も考えずにJDKを入れてし
依存ライブラリの脆弱性チェック - Qiita
OWASP Depedency Check OWASP Dependency Check は Dependency-Check is a utility that identifies project dependencies and checks if there are any known, publicly disclosed, vulnerabilities. Currently Java and .NET dependencies are supported; however, support for Node.JS, client side JavaScript libraries, etc. is planned. とあるように、未知の脆弱性ではなく、既知の脆弱性を含むライブラリを検査してくれます。 このツールは、常にライブラリのバージョンを最新にしている開発チームでは必要が
Apache Commons FileUpload および Apache Tomcat の脆弱性に関する注意喚起
各位 JPCERT-AT-2014-0007 JPCERT/CC 2014-02-10(初版) 2014-03-07(更新) <<< JPCERT/CC Alert 2014-02-10 >>> Apache Commons FileUpload および Apache Tomcat の脆弱性に関する注意喚起 https://www.jpcert.or.jp/at/2014/at140007.html I. 概要 Apache Commons FileUpload および Apache Tomcat にはマルチパートリク エストの処理に脆弱性があります。結果として、遠隔の第三者は、細工した HTTP リクエストを Web サーバに対して送ることで、サービス運用妨害 (DoS) 攻撃を行う可能性があります。脆弱性の詳細については、Apache Software Foundation の情報を確
waffle-parent – About
Project Modules This project has declared the following modules: Name Description
「Java 7 Update 11でも脆弱性は残っているから引き続きJava無効化を」という話について
「Java SE 7 Update 11 でもバグが修正されていない」という専門家の意見が書いてあるロイター通信の記事（Oracle updates Java, security expert says it still has bugs）をTwitterで紹介しましたが、「やはり修正されていない」「修正されたのは２つの脆弱性の内の一つだけ」というニュース記事が複数出てきました。 これらのニュース記事には、「Java 7 Update 11でも脆弱性は残っているから、Java(Java appletを起動するためのブラウザ上のJavaプラグイン)をひきつづき無効化せよ」という内容のCERTの意見が掲載されています（無効化手順はこちら）。 しかし、日本語の記事が曖昧で、少し情報源のページを読んでみると、単に「片方が修正されていないから危険」というわけではない、ちょっとややこしい話のようだった
浮動小数点変換バグはJavaにもあった
cles::blog 平常心是道 blogs: cles::blog NP_cles() « OCE@N SG No.2 :: Windows 7 SP1 は 2/22 » 2011/02/10 浮動小数点変換バグはJavaにもあった php java cve PoC 26 1へぇ 先日、PHPで特定の浮動小数点数を入力するとハングするという問題*1*2があって、急遽アップデート版が出たりとかしてちょっとした騒ぎになりました。 <?php $d = 2.2250738585072011e-308; これと同じような問題がJavaにもあった模様。 ・Security Alert For CVE-2010-4476 Released (The Oracle Global Product Security Blog) ・Java Hangs When Converting 2.22507
Apache Shiro | Simple. Java. Security.
Apache Shiro™ is a powerful and easy-to-use Java security framework that performs authentication, authorization, cryptography, and session management. With Shiro’s easy-to-understand API, you can quickly and easily secure any application – from the smallest mobile applications to the largest web and enterprise applications.
セキュリティAPIに関する技術調査 2003年版
API Microsoft MS Windows Windows 2000 Windows NT Windows Internet Explorer Outlook Visual C++ Microsoft Corporation Sun microsystems Sun Java Solaris Java JDK Slaris Sun microsystems ™ © ® i .................................................................................................................. 1 Java API ............................................................................ 5 Java
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - SecureSkyTechnology/study-struts2-s2-054_055-jackson-cve-2017-7525_cve-2017-15095: Struts2の脆弱性S2-045, S2-055 および Jackson の脆弱性 CVE-2017-7525, CVE-2017-15095 の調査報告
第八回 #渋谷java - Java 8 で造る認証系
GitHub - jeremylong/DependencyCheck: OWASP dependency-check is a software composition analysis utility that detects publicly disclosed vulnerabilities in application dependencies.
https://blogs.oracle.com/otnjp/post/entry/java_se_7%E3%81%8C%E3%82%A2%E3%83%83%E3%83%97%E3%83%87%E3%83%BC%E3%83%88%E3%81%95%E3%82%8C%E3%81%BE%E3%81%97%E3%81%9F_%E6%9B%B4%E6%96%B0%E3%81%AB%E3%81%A4%E3%81%84%E3%81%A6%E3%81%AE%E6%B3%A8%E6%84%8F%E3%81%A7%E3%81%99
Burp Suite - Application Security Testing Software