Log4jの深刻な脆弱性CVE-2021-44228についてまとめてみた - piyolog
2021年12月10日、Javaベースのログ出力ライブラリ「Apache Log4j」の2.x系バージョン（以降はLog4j2と記載）で確認された深刻な脆弱性を修正したバージョンが公開されました。セキュリティ関係組織では過去話題になったHeartbleedやShellshockと同レベルの脆弱性とも評価しています。ここでは関連する情報をまとめます。 １．何が起きたの？ Javaベースのログ出力ライブラリLog4j2で深刻な脆弱性（CVE-2021-44228）を修正したバージョンが公開された。その後も修正が不完全であったことなどを理由に2件の脆弱性が修正された。 広く利用されているライブラリであるため影響を受ける対象が多く存在するとみられ、攻撃が容易であることから2014年のHeartbleed、Shellshock以来の危険性があるとみる向きもあり、The Apache Software
log4jの0-day exploitを動かして理解する
これはKCS AdventCalendar2021 10日目の記事です。 ←9日目|11日目→ どうもyapattaです。最近アドベントカレンダー用の技術記事を書こうと思っていたが書きたい技術が思い浮かばなかった。 そんなときである！本日(投稿したときには前日)幸か不幸かインターネット上でApache-log4jのゼロデイ・エクスプロイト(CVE-2021-44228)が話題を賑わせた。 せっかくだし流行に乗って、実際に動かして理解を深めた。セキュリティ啓発になったら幸いということでこの記事を書く。 急いで書いてかつ自分の知識が不十分であるため、誤りなどが存在する可能性があるがそのときは指摘して頂けるとありがたい。 あとこれが重要、絶対に悪用しないで下さい。 では本題。 log4j RCE 0-day exploitとは 概要 サーバ内でApache log4jのバージョンが2.0以上2.
log4jの脆弱性について
log4jとはJava用のloggingライブラリだ。loggingライブラリというのはログとして記録すべき文字列を受け取り、それをどこかに出力するものだ。文字列の中身を通常のloggingライブラリは気にしない。 log4jが通常のloggingライブラリと違うのは、文字列の中身を見て、一部の文字列を変数とみなして置換することだ。これはlog4jのドキュメントではlookupと呼ばれている。 Log4j – Log4j 2 Lookups 例えばプログラムを実行中のJava runtimeのバージョンをログに含めたい場合は、"Java Runtime: ${java:runtime}"などとすると、"Java Runtgime: Java(TM) SE Runtime Environment (build 1.7.0_67-b01) from Oracle Corporation"などの
JVM JITコンパイラの仕組み - Qiita
JVMのJITコンパイラの仕組みを勉強したことをまとめていく。 環境 macOS Mojava 10.14.4 AdoptOpenJDK 1.8 64bit Scala 2.13.1 ~/workspace/$ java -version openjdk version "1.8.0_222" OpenJDK Runtime Environment (AdoptOpenJDK)(build 1.8.0_222-b10) OpenJDK 64-Bit Server VM (AdoptOpenJDK)(build 25.222-b10, mixed mode) JITコンパイラとは Just In Timeコンパイラのことで、JVM上に実装されているコンパイラである。 Just In Timeの通り、「必要な物を、必要な時に」コンパイルするコンパイラのこと。 JVM上での実行までの流れ めっち
JavaのDateFormatの小文字vs大文字 - Qiita
はじめに JavaのDateTimeFormatterは決められた半角英字を用いて、どのような文字列とするかを決めます。 その中でyとYのように大文字と小文字だけの違いで別物を表現しようとしている文字列が幾つもあります。 ここではその違いについてまとめました。 環境 Java11を使用しています。 今回のように短いコードを描く場合はJshellが便利なので、JShell上で試しています。 起動後、使用するであろうクラスをimportしておきます、。 tasogarei $ jshell | JShellへようこそ -- バージョン11.0.1 | 概要については、次を入力してください: /help intro jshell> import java.time.* jshell> import java.time.format.DateTimeFormatter
Throwableについて本気出して考えてみた - 都元ダイスケ IT-PRESS
Throwable、Exception、RuntimeException(RTE)、Errorあたりを整理しながら、色々考えてみた。私見に基づくので、間違っているかもしれないけれど、自分としては頭が整理できたかな、と感じたので晒してみる。異論があったらコメントください。 まず、一番基礎的なところで、継承関係の整理から。こんなツリーになっています。 Throwable Error Exception RuntimeException そして、本稿での用語の定義。caller＝呼出す側のコード callee＝呼出される側（throwする側）のコードとします。 Throwable Throwableは「throw文に指定できる何か」という意味ですね。 Instances of two subclasses, Error and Exception, are conventionally used
catch 句での Throwable と Exception 違い - 現場ログ
Throwable は JVM レベルでの Serious Error を catch する時に使う Exception より高階層な API Exception はアプリケーションレベルでの例外を catch する時に使う Throwable より低階層な API app 構築に当たるならこちらを使うべき Throwable Throwable (Java Platform SE 6) The Throwable class is the superclass of all errors and exceptions in the Java language. Exception Exception (Java Platform SE 6) The class Exception and its subclasses are a form of Throwable that indica
RxJavaのテストコードを書く - fly1tkg blog
はじめに 最近のAndroidアプリ開発ではClean Architectureなど、設計の議論がすすみ、テストコードのためのツール群も増えたことで、テストコードを書くコストが減ってきているように感じます。 また、もう一つの流行としてRxJavaの採用事例が増えてきたように感じます。 JavaのJUnitテストやAndroidのテストにおいて、RxJavaのテストコードをどのように書くべきか、調べたことを書いていきたいと思います。 TestSubscriberについて Subscriptionは非同期処理なので、ユニットテストするには同期処理が必要になります。（非同期処理のままにしておくと、Observableから値が返ってくる前にテストが終了してしまいます。） 公式のテスト方法はTestSubscriberクラスを利用することです。これはRxJavaライブラリに含まれています。 正常系の
%253A_TestSubscriber%252C_test()%252C_TestScheduler)
RxJava のテスト(1): TestSubscriber, test(), TestScheduler - hydrakecat’s blog
これはRxJava Advent Calendar 2016の第12日目の記事です。 RxJavaは非同期処理を扱うライブラリですが、それ故にRxJavaのからむ単体テストは一筋縄でいかないところがあります。この記事と次の記事では、RxJavaでの非同期処理テスト特有の問題と、その解決方法を説明します。なお、基本的に RxJava 1.x を対象としていますが、必要に応じて RxJava 2.x についても触れます。 この記事の続編はこちらになります。 非同期処理の単体テストの難しさ 非同期処理の単体テストは一般に難しいものです。試しに以下のコードを実行してみましょう。 @Test public void testDoSomething() { new AsyncService().doSomething() .subscribe(s -> assertEquals("success",
RxJava+RetrofitでAPI通信周りを実装するうえで最低限の知識を30分で詰め込む - Qiita
前提 いま参加しているプロジェクトのネットワーク通信部分を大幅に書き換える必要があり、次のような理由からRxJavaの採用を検討した。 複数のAPI呼び出しを並行でやったり待ち合わせて逐次処理したり使い分ける必要がある 複雑な一連の呼び出しをリトライやエラーハンドリングを考慮して書くことが簡単にできそう 各社の採用実績から思いとどまる理由がない 筆者はRxJava(1)を業務で使ったことがある RxJavaで書き直した結果これらの要求を非常に簡単に満たすことができたが、不慣れなメンバーには「いつ非同期処理が開始されたのか分かりにくい」ことが判明した。 本ドキュメントは元々社内Qiita Teamに書き始めたものであるが、世の中の同じようなチームにも益があるかも知れないと考え公開することにした。 なお、現在RxJavaはバージョン2なのでとくに断りなくRxJava2（2017年6月時点の最新
非同期や並列処理にも役立つRxJavaの使い方 - Qiita
なぜRxJava? RxJavaは様々な特性を併せ持ったライブラリですが、簡単にまとめると以下のような機能に分類されます。 List処理の抽象化・ストリーム化 Optional Future/Promise Data Binding Event Bus Android開発でRxJavaをチームに導入した話 Java 8ではStream APIやOptionalが導入されていますが、Androidや業務要件などそのAPIを使えない環境も存在します。 また、非同期や並列などそもそもJavaで扱いにくい処理を、統一されたインターフェイスで簡潔に記述できるなどのメリットも多く、その基本的な機能を試してみたので紹介します。 なお、ここに記載する内容はRxJavaの使い方が中心で、RxJava自体の概念やFRPなどについては、他にも多くの方々紹介してくださっていますので、そちらをご覧いただければと思い
Server polling and retrying failed operations. With Retrofit and RxJava.
A very common case in developing rest application is server polling and retry. When server is doing some job and we need to ask (with some delay) if it’s finished, also when we got an error, sometimes we want to retry. I’ve decided to write about that after I stuck with implementing server polling correctly with RxJava. Eventually I got a good answer about it in this stackoverflow question. In thi
RxJava（RxJava2）をはじめた - LOCAL-C BLOG
RxJavaのイメージ RxJsは聞いたことある Observableも聞いたことある 非同期処理がいい感じにかけそう ストリームもきいたことあるけど（流れ、小川） このくらいの知識から、とりあえず使ってみた。 RxJavaの基本クラス Observable, Flowable, Single, Maybe, Completable といったものがあるけど、とりあえずObservableを抑えておけばいい 他は、小慣れてきて使ったらよい Observableからはitemが 同期的 or 非同期 で流れてくる（ストリーム） Observable.fromIterable(List)[v1:Observable.from(List)]を使うと、Listの中身が1つずつ流れてくるObservableを作れる map()やfilter()を始めとするOperatorを使うとストリームに流れてくる
RxJavaで並列処理と非同期チェーン｜Wano Group Developers Blog
今のとこAndroid開発でRxJava使ってる。 待ち受けストリーム的な実装は基本的にしていなくて、jsでいうPromise的な扱いとLinq代わりのコレクション操作をRxJavaに任せてる、という感じ。 適当にやってるとその辺幾つか忘れる項目があるのでメモ。 Observable.zipを使う。 Observable<Integer> obs1 = Observable.just(256); Observable<String> obs2 = Observable.just("String"); Observable<Boolean> obs3 = Observable.just(true); Observable.zip(obs1, obs2, obs3, (Integer i, String s, Boolean b) -> i + " " + s + " " + b) .subs
読める！RxJava - Qiita
概要 RxJavaで書かれたソースを初めて見ると、処理の流れが追いづらく、 本来理解したいロジックの部分の理解に入れないことが多々あります。 (少なくとも私はそうでした...) 本記事は、RxJavaの主要クラスと主要メソッドである、 Completable Single Observable subscribeOn observeOn map flagMap を、実際にコードを動かしながら処理を追うことで、 読者の皆様を『読める！RxJava』にします。 対象 RxJavaって何、美味しいの？ RxJavaで書かれている処理を見たけど理解不能だった 使いたいライブラリがリアクティブで困ってます 『RxJavaでググったけど...』 『こんな図ばっか出てきて意味分からない！！』 なあなたに送ります。 ※この図自体が悪いわけでは無いですが、初学者向けでは無いです。 (英語だし...) 実行環
RxJavaのエラーハンドリング - Qiita
RxJavaでは非同期処理などで非常に便利なライブラリですが、そのエラーハンドリングもとてもスマートに行うことができます。ここではRxJavaのエラーハンドリングの詳細について説明したいと思います。 subscribeでのエラー処理 通常はsubscribe()でエラーを受け取ってハンドリングすることとなると思います。 Observable .create(new Observable.OnSubscribe<String>() { @Override public void call(Subscriber<? super String> subscriber) { log("subscribe"); subscriber.onNext("emit 1"); subscriber.onNext("emit 2"); subscriber.onError(new Throwable());
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
逆引きよく使うRxJava1.x オペレータ - Qiita
Error Handling Operators
RxJava and Error Handling | Baeldung
https://valueaddedprogramming.com/2018/10/23/rxjava-operators-delay-repeat-repeatwhen/