Javaの脆弱性を突く攻撃が占める割合は、前年同期の3分の1から、今年上半期にはほぼ半分に増えたという。 フィンランドのセキュリティ企業F-Secureは9月24日、2013年上半期のセキュリティ動向報告書を発表した。Javaの脆弱性を突く攻撃が増え続けている実態などについて解説している。 それによると、F-Secureが2013年上半期に検出した主な攻撃のうち、ほぼ60％をソフトウェアの脆弱性を突く攻撃が占めた。筆頭はJavaの脆弱性を突く攻撃で、F-Secureが検出した攻撃のうち、Javaの脆弱性攻撃が占める割合は、前年同期の3分の1から、今年上半期にはほぼ半分に増えたという。 Oracleが3月のJavaセキュリティアップデートで修正した脆弱性「CVE-2013-1493」や、2011年10月に修正された「CVE-2011-3544」は、特に集中的に狙われていることが分かった。 一

米Oracleは、「Java Development Kit 8」の開発者向けプレビュー版を公開した。2014年3月の正式提供を目指す。 米Oracleは2013年9月10日、「Java Development Kit（JDK） 8」の開発者向けプレビュー版を公開した。2014年3月の正式提供を目指し、幅広い開発者にテストしてもらう狙い。 OracleのJavaプラットフォーム部門のマーク・ラインホールド氏はブログで、「同プレビュー版はOracleがサポートする全てのOSでテストを済ませており、目立った問題は見つかっていない。2013年6月に公開したFeature Complete版に見つかったバグは、その多くを修正した」としている。 JDK 8の新機能の中で特筆すべきものは「Project Lambda」で、ラムダ式、インターフェイスにメソッドを実装できるようにする「デフォルトメソッド」

Javaの既知の脆弱性を突く攻撃がまた新たに発生した。Java 7の最新版に更新すれば問題は解決されるが、Java 6の場合、修正パッチは存在しない。 日本を含む世界40カ国あまりで政府機関や民間企業、学術機関などのコンピュータに感染を広げたマルウェア「NetTraveler」に、Javaの既知の脆弱性を突く亜種が出現したという。ロシアのセキュリティ企業Kaspersky Labが9月3日のブログで伝えた。 それによると、最近ウイグル人活動家に届いたスピアフィッシングメールの中に、正規のWebサイトへのリンクに見せかけて、NetTraveler関連サイトに誘導するリンクが記載されているのが見つかった。 誘導先サイトに仕込まれた「new.jar」という名称のJavaアプレットは、Oracleが6月の定例パッチで修正したJavaの脆弱性（CVE-2013-2465）を悪用する仕掛けになっていた

セキュリティ専門家は「JRE6のパッチは存在しない。アンインストールするか、JRE7 Update 25に更新を」と呼び掛けた。 さまざまな脆弱性の悪用を狙った攻撃ツールの「Neutrino」に、Javaの既知の脆弱性を悪用する機能が加わった。Java 6ではこの脆弱性が修正されていないことから、セキュリティ各社は改めて、最新版のJava 7にアップグレードするよう促している。 セキュリティ企業F-Secureの研究者は8月26日、TwitterでJavaの脆弱性（CVE-2013-2463）を突くコンセプト実証コードが公開され、Neutrinoにこの脆弱性を突くコードが実装されたと報告した。「JRE6のパッチは存在しない。アンインストールするか、JRE7 Update 25に更新を」と呼び掛けた。 CVE-2013-2463は、Oracleが6月の定例パッチで修正した脆弱性で、危険度は極

Bit9の調査によると、企業のエンドポイントのうち82％が、既にサポートの打ち切られたJava 6を実行していることが判明した。 多くの企業でエンドポイントに古いバージョンのJavaが残り、深刻な脆弱性が多数放置されたままになっている実態が、セキュリティ企業Bit9が7月18日に発表した調査で判明した。 Bit9の調査では、各国の企業数百社のエンドポイント約100万台についてJavaの導入状況を調べた。その結果、調査対象のエンドポイントの82％がJava 6を実行していることが判明した。Java 6については既にOracleがサポート打ち切りを宣言している。 社内のエンドポイントに存在するJavaのバージョンは、平均して50を超えていることも判明。最新版のJavaを導入している企業は1％にも満たなかった。最も多かったのは「Java SE 6 Update 20」の9％で、このバージョンには

セキュリティ企業によれば、Java SE7で導入されたReflection APIには、10年以上前から知られていた攻撃を防ぐ対策が施されていなかったという。 ポーランドのセキュリティ企業Security Explorationsは7月18日、Java SE7に新たな脆弱性が見つかったとして、セキュリティメーリングリストのFull Disclosureに概略を掲載した。Oracleにも同日、コンセプト実証（PoC）コードを添えて報告したという。 Security Explorationsによると、脆弱性はJava SE7で導入された「Reflection API」に存在し、Java仮想マシン（VM）に対する攻撃に利用される恐れがある。 この攻撃手法そのものは10年以上前から知られていたにもかかわらず、Java SE7で導入されたReflection APIには、この攻撃を防ぐための適切な対

Apache Struts 2に深刻な脆弱性、国内でも攻撃を観測：場合によってはリクエストの制限などの回避策を推奨 Apache Software Foundationは米国時間の2013年7月16日、深刻な脆弱性を修正するアップデート「Struts 2.3.15.1」を公開した。 Apache Software Foundationは米国時間の2013年7月16日、Webアプリケーションフレームワーク「Struts 2」の新バージョン「Struts 2.3.15.1」を公開した。深刻な脆弱性を修正するもので、同Foundationは早急なアップデートを推奨している。 Struts 2は、JavaによるWebアプリケーション開発に広く使われているフレームワークで、国内でも多くのサービスが採用している。 今回修正された脆弱性（S2-016）は、Struts 2.0.0から2.3.15までに存

修正された40件の脆弱性のうち37件は、リモートから認証を経ずに悪用される恐れがある。脆弱性を修正した最新版は「Java SE 7 Update 25」となる。 米Oracleは6月18日、予告通りにJava SEの定例セキュリティアップデートとなる「Critical Patch Update」（CPU）を公開した。脆弱性を修正したJavaの最新版は「Java SE 7 Update 25」（1.7.0_25）となる。 同社のセキュリティ情報によると、今回のCPUでは計40件の脆弱性に対処した。このうち37件について、リモートから認証を経ずに悪用される可能性が指摘されている。 40件のうち34件はクライアント版のみに影響する脆弱性で、危険度を示す共通指標CVSSのベーススコアが最も高い「10.0」の極めて深刻な脆弱性が11件に上る。 残る6件の内訳は、クライアント版とサーバ版に影響する脆弱

この問題は、4月16日に公開されたJava最新版の「Java 7 Update 21」（1.7.0_21）も影響を受けるという。 ポーランドのセキュリティ企業Security Explorationsは4月22日、米OracleのJava SEにまた新たなセキュリティ問題が見つかったとして、セキュリティメーリングリストの「Full Disclosure」で概略を公表した。 Security Explorationsによれば、新たに見つかった脆弱性はJavaのリフレクションAPIに関連するもので、4月16日に公開されたJava最新版の「Java 7 Update 21」（1.7.0_21）も影響を受けるという。この問題を悪用すれば、Javaのセキュリティ対策であるサンドボックスを完全に迂回することが可能だとしている。 この問題はJREプラグインやJDKソフトウェアだけでなく、最近発表されたサ

過去に何度もJavaの脆弱性を発見してきたセキュリティ企業が、新たに2件の脆弱性に関する情報をOracleに提供したことを明らかにした。 ポーランドのセキュリティ企業Security Explorationsは2月25日、2件の脆弱性に関する情報とコンセプト実証コードをOracleに提供したことを明らかにした。Oracleは提供された情報について調査した上で返答すると伝えてきたという。 Security Explorationsは、過去に何度もJavaの脆弱性を発見してきたセキュリティ企業。メディア各社はこの脆弱性について、Oracleが2月19日に公開したばかりのJava最新版「Java 7 Update 15」が影響を受けると伝えている。 JavaはOSを問わないマルチプラットフォーム対応の特性を利用して、WindowsとMacの両方を狙った攻撃に利用されるケースが急増している。最近で

米Oracleは2月19日、Javaの最新版となる「Java 7 Update 15」を公開し、複数の極めて深刻な脆弱性に対処した。Javaのアップデートは2月1日に臨時公開されたばかりだが、この時に積み残した5件の脆弱性を修正した。 同社のセキュリティ情報によると、19日のパッチで対処した5件の脆弱性のうち4件は、デスクトップ上のJava Web StartアプリケーションとWebブラウザのJavaアプレットを使って悪用される恐れがある。3件は共通指標のCVSSベーススコアで危険度が最も高い「10.0」と位置付けられ、リモートから認証を経ずに悪用される恐れが指摘されている。 Javaの脆弱性を突く攻撃が横行している実態を踏まえ、Oracleではできるだけ早くパッチを適用して脆弱性を修正するよう、強く推奨している。さらに、定例パッチ公開のペースも速め、次回は4月16日にJavaの脆弱性修正

Oracleは、脆弱性を突く攻撃が発生したことから定例パッチを前倒しで公開。AppleもMac OS X v10.6.8向けのJavaアップデートを公開した。 米Oracleは2月1日、Javaの深刻な脆弱性を修正した更新版の「Java 7 Update 13」を公開した。脆弱性を突く攻撃が確認されたことを受け、19日に公開予定だった定例のクリティカルパッチアップデートを前倒ししてリリースした。 同社のセキュリティ情報によると、今回のアップデートでは計50件の脆弱性に対処した。このうち44件は、Java Web StartアプリケーションやJavaアプレットを使ってWebブラウザ経由で悪用される恐れがある。危険度は50件のうち26件について、共通指標のCVSSベーススコアで最も高い10.0と評価。ユーザーに対し、できるだけ早くアップデートを適用するよう強く促している。 米Appleも同日、

米Oracleが脆弱性を修正したばかりの「Java 7 Update 11」に、新たな2件の脆弱性が報告された。 米Oracleが脆弱性を修正したばかりのJava最新バージョンで新たな脆弱性を確認したとして、ポーランドのセキュリティ企業Security Explorationsがセキュリティメーリングリストの「Full Disclosure」に概略を投稿した。 それによると、同社は「Java 7 Update 11」（JRE 1.7.0_11-b21）に新たな2件の脆弱性を発見し、コンセプト実証（PoC）コードを添えて1月18日にOracleに報告したという。この脆弱性を利用すれば、Javaに実装されたセキュリティ機能のサンドボックスを完全に迂回できることが確認できたとしている。 Javaは未解決の脆弱性を突く攻撃が横行したことを受け、Oracleが1月13日にJava 7 Update

どうしてもJavaを実行する必要がない限りは無効にするようUS-CERTは助言する。今回修正されたのは、攻撃に利用されていた2件の脆弱性のうちの1件にすぎないとの指摘もある。 Javaの未解決の脆弱性を突く攻撃が横行したことを受け、セキュリティ業界では今後も同様の攻撃が続くと予想、Javaを無効にするよう呼び掛ける動きが広がっている。 米Oracleは1月13日に「Java 7 Update 11」を臨時公開し、攻撃に利用されていた脆弱性も含めて2件の脆弱性に対処した。1月上旬の時点でこの脆弱性を突く攻撃が横行し、悪名高い攻撃用ツールキットにもこの脆弱性を悪用するコードが実装されていた。 米US-CERTはOracleのアップデート公開を受けて、14日付でセキュリティ情報を改訂。解決策として、Java 7 Update 11へのアップデートを促した。同時に、「Java 7 Update 1

悪名高い「Blackhole」や「Nuclear Pack」などのツールキットが既にこの脆弱性を悪用しているという。US-CERTはWebブラウザでJavaを無効にする対策を奨励している。 米セキュリティ機関のUS-CERTは1月10日、「Java 7 Update 10」までのバージョンに未解決の深刻な脆弱性が見つかったとして、セキュリティ情報を公開した。この脆弱性を突いた攻撃も既に横行しているという。 US-CERTによると、脆弱性は「Java Management Extensions（JMX） MBean」コンポーネントに存在する。攻撃者がこの問題を悪用して細工を施したHTML文書をユーザーに閲覧させることにより、リモートから認証を受けずに任意のコードを実行できてしまう恐れがあるという。 共通脆弱性評価システムCVSSによる深刻度評価は、ベーススコアで最高値の「10.0」。この脆弱

6月にApp StoreとGoogle Playで85円で発売したゾンビゲーム「DEAD TRIGGER」のGoogle Playでの違法コピー率があまりに高いので、Android版のみ無料にしたとメーカーのMADFINGER GAMESが発表した。 6月に85円で発売したAndroid向けゲーム「DEAD TRIGGER」の違法コピー率があまりに高いので、無料化してアプリ内決済だけで収益を上げるようにした――。DEAD TRIGGERのメーカーであるチェコ共和国のMADFINGER GAMESが7月23日（現地時間）、ゲーム無料化の理由を公式Facebookページで説明した。 DEAD TRIGGERは米AppleのiOSと米GoogleのAndroid向けに6月1日に発売されたゾンビシューティングゲーム。iOS版はApp Storeで引き続き85円で販売されている。同社は発売後1カ月で

Javaの脆弱性はマルウェアなどに悪用されるケースが相次いでいるため、Oracleはできるだけ早期のCPU適用を強く推奨している。 米Oracleは6月12日、予告通りにJava SEの定例クリティカルパッチアップデート（CPU）を公開し、14件の脆弱性に対処した。 同社のセキュリティ情報によると、14件の脆弱性のうち12件は、リモートで認証を経ずに悪用される恐れがある。危険度が共通指標CVSSのベーススコアで最大の「10.0」に該当する極めて深刻な脆弱性も6件ある。 これら脆弱性に対処したJavaの最新版として「Java SE 7 Update 5」「Java SE 6 Update 33」がリリースされた。 Javaの定例CPUは4カ月ごとに公開されているが、これを導入しないまま脆弱性を放置するユーザーも多く、マルウェアなどに悪用されるケースが相次いでいる。このためOracleは、でき

Play frameworkのDB操作を楽にするEBeanの基礎知識：Javaの常識を変えるPlay framework入門（2）（1/3 ページ） DB操作で使うPlay frameworkのフォルダ構成 前回の記事「Java開発で泣かないためのPlay frameworkの基礎」では、Play frameworkの特徴から始まり、セットアップ、そしてEclipseでの環境設定までを解説しました。 いよいよ今回からPlay frameworkでのプログラミングの仕方を紹介します。今回は、DBスキーマを作成するなどの作業を行わず、手軽に行えるDB操作を紹介します。 まず、プログラミングに入る前に、今回のDB操作で使うPlay frameworkのフォルダ2つを簡単に説明します。そのほかのフォルダについての説明は次回以降の連載で説明していきます。 「app」フォルダ Javaクラスやビューテ