「Java」に署名検証がフリーパスになってしまう危険な脆弱性 ～影響は計り知れず／2022年4月の「Critical Patch Update」で対策済み、最新版への更新を
メモリリーク、デッドロック、リダイレクトループ、JVMクラッシュ...バグだらけのWebアプリケーションを使ってバグを理解する - Qiita
概要 Webアプリケーションの開発や保守をしていると、いろいろなバグに遭遇します。メモリリーク、デッドロック、リダイレクトループ、JVMクラッシュ等々、バグは様々です。こういったバグは、実際にコードを書いて、実行・再現させてツールで解析してみると理解が深まります。 ということで、いろいろなバグを実装したWebアプリケーションをつくってみました。現時点では、以下を簡単に再現できます。 メモリリーク (Javaヒープ領域) メモリリーク (Permanent領域) メモリリーク (Cヒープ領域) デッドロック (Java) デッドロック (SQL) 完了しないプロセスの待機 無限ループ リダイレクトループ JVMクラッシュ ネットワークソケットリーク データベースコネクションリーク ファイルディスクリプタリーク XSS SQLインジェクション ExceptionInInitializerErr
Javaライブラリに脆弱性、主要ミドルウェア全てに影響
WebLogic、WebSphere、JBoss、Jenkins、OpenNMSのそれぞれについて、いずれも最新版でこの脆弱性を突いてリモートでコードを実行できるコンセプト実証コードも公開された。 WebLogicやWebSphereなどの主要ミドルウェア全てに影響を及ぼすというJavaライブラリの脆弱性情報とコンセプト実証コードが公開された。いずれの製品についても、まだパッチは公開されていないという。 この情報は、情報セキュリティの専門家でつくるFoxGlove Securityが11月6日のブログで紹介した。脆弱性はJavaの「common-collections」ライブラリに存在していて、WebLogicなどのほか、企業のカスタム版のアプリケーションにも影響を及ぼすと指摘している。 コンセプト実証コードは9カ月以上前に公開されていたにもかかわらず、これまであまり注目されることはなく、
Oracleが定例アップデートを予告、Javaに極めて深刻な脆弱性
アップデートは米国時間の7月15日に公開予定。計115件の脆弱性のうち、20件をJava SEの脆弱性が占める。 米Oracleは、定例の「クリティカルパッチアップデート」を米国時間の7月15日に公開し、Javaやデータベースなどに存在する深刻な脆弱性を修正すると予告した。 同社が10日に公表した概略によると、今回のアップデートでは計115件の脆弱性を修正する。このうち20件をJava SEの脆弱性が占める。20件とも、ネットワークを介して認証を経ることなくリモートから悪用される恐れがあるといい、共通指標のCVSSで最高値の10.0に該当する極めて深刻な脆弱性も含まれる。 Java SEのほかにも、Oracle Database ServerやFusion Middleware、PeopleSoftやSiebel、Sun Systemsなどの製品、Oracle Virtualization
Javaに危険な脆弱性が複数、最新版にアップデートを
この記事は会員登録で続きをご覧いただけます申込は簡単3分！ 今すぐ会員登録（無料） 会員の方はこちら 【8/20まで】今なら年額プランが2カ月分お得！ 詳しくはこちら ▼日経クロステック有料会員になると… オリジナル記事がすべて読める 専門雑誌7誌の記事も読み放題 雑誌PDFを月100ページダウンロードできる
「JavaはGoogleへ売却すべき」――脆弱性放置のOracleに忠告
企業が手にできる最悪の保証といえば、政府によるソフトウェア使用禁止令だろう。2013年1月10日（米国時間）、米Oracleに起きたことは、まさにそれだった。米国土安全保障省（DHS）が、全てのコンピュータユーザーに対して、重大な脆弱性があることを理由に、クライアントPCのJavaを無効にすべきだと警告したのだ。 関連記事 米Oracleの怠慢を批判――「Javaはアンインストールすべき」 検出不可？ Javaの脆弱性を突く「ファイルなしボット」 Javaをアンインストールせずにセキュリティを高める方法 「Java 7 Update 10」に、「Red October」というグローバルマルウェアネットワークへ接続する重大な脆弱性悪用プログラム（エクスプロイト）が見つかった。そのエクスプロイトは、世界中の政府系機関にある数百台のクライアントPCに侵入し、数カ月間にわたって活動していた。 Or
Javaに新たな脆弱性、すでにゼロデイ攻撃が発生
セキュリティ研究者らは、広く普及しているJavaソフトウェアに新たな脆弱性を発見した。悪用されれば、攻撃者にコンピュータへのアクセスを許してしまうおそれがある。 米コンピュータ緊急事態対策チーム（US-CERT）は米国時間1月10日に警告を発し、「Java 7 Update 10」およびそれ以前のバージョンのソフトウェアにある種の脆弱性が含まれており、悪用されれば認証されていないリモート攻撃者に任意のコードを実行されてしまうおそれがあると述べた。この攻撃は、セキュリティホールを利用する悪意のあるコードが仕組まれたウェブサイトをユーザーが訪問した場合に行われる可能性がある。 この脆弱性はすでに「実際に」攻撃を受けており（つまり現実世界の脅威なのだ）、悪意のあるユーザーが簡単に攻撃を実行できるようにするためのエクスプロイトキットに組み込まれている。 Javaを開発するOracleはまだ脆弱性へ
Mac OS Xを標的にしたKoobfaceワーム、Facebookなどに出回る
セキュリティ研究者は、Facebook、MySpace、Twitterを利用するMac OS Xユーザーを標的にした、初めてのバージョンのKoobfaceを発見した。 Integoの警告によれば、「この脅威はKoobfaceワームのMac OS X版であり、悪質なJavaアプレットを通じてマルチプラットフォーム攻撃の一端を担うものだ」という。 このKoobfaceの新型は、現在ソーシャルネットワーキングサイトのメッセージ中のリンクを通じて広がっており、悪質なウェブサイトを使ってMac OS Xユーザーをだまし、動画ファイルを視聴させようとする。 Integoによれば、これらのサイトはJavaアプレットを読み込もうとするという。ユーザーはMac OS Xに標準のJavaセキュリティアラートによって警告を受けるため、自動的に感染することはない。 ユーザーはコンピュータに対するアプレットのアクセ
Javaの脆弱性を突く攻撃コードが流通、最新版の利用確認を
SANSは、ユーザーが自分のマシンに最新版のJavaがインストールされ、古いバージョンが削除されていることを確認してほしいと促している。 Javaの既知の脆弱性を突いた攻撃コードが出回り、今後攻撃の拡大が予想されるという。SANS Internet Storm Centerは7月15日、サイト上で注意を呼び掛けた。 SANSによると、この脆弱性の存在は2008年12月に明らかになり、Sunが更新版をリリースして対処した。しかし4月に入ってエクスプロイトが出現。このほど、同エクスプロイトが攻撃ツールキットで利用され始めたという。 脆弱性はJarファイルの圧縮に使われる「Pack200」メソッドに存在し、JRE 6 Update 13未満のバージョンと、JRE 5 Update 18未満のバージョンが影響を受けるとしている。エクスプロイトはAppletを使って、細工を施したPack200圧縮フ
JavaとMySQLの組み合わせでUnicodeのU+00A5を用いたSQLインジェクションの可能性
補足 この記事は旧徳丸浩の日記からの転載です（元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2）。 備忘のため転載いたしますが、この記事は2008年12月22日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり 今年のBlack Hat Japanには、はせがわようすけ氏が「趣味と実益の文字コード攻撃」と題して講演され話題となった。その講演資料が公開されているので、私は講演は聞き逃したが、資料は興味深く拝見した。その講演資料のP20以降には、「多対一の変換」と題して、UnicodeのU+00A5（通貨記号としての￥）が、他の文字コードに変換される際にバックスラッシュ「\」（日本語環境では通貨記号）の0x5Cに変換されることから、パストラバーサルが発生する例が紹介されている。 しかし、バックスラッシュと言えばSQL
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Secunia、「Java 7 update 15」の非常に深刻なゼロデイ脆弱性を公表
JVNTA12-240A: Oracle Java 7 に脆弱性
Javaにマルウェア攻撃の「未曾有の波」、マイクロソフトが報告