CVE-2022-21449: Psychic Signatures in Java
The long-running BBC sci-fi show Doctor Who has a recurring plot device where the Doctor manages to get out of trouble by showing an identity card which is actually completely blank. Of course, this being Doctor Who, the card is really made out of a special “psychic paper“, which causes the person looking at it to see whatever the Doctor wants them to see: a security pass, a warrant, or whatever.
cve-2022-22965 Spring4Shell の影響調査 | DevelopersIO
はじめに こむろです。 Spring4Shell についてです。どうせお前ら調査してたんだろ？と思ったあなた、大正解です。 結論 非常に広範な影響がありましたが、現時点で、Spring Framework 本体への修正パッチがすでに適用されています。そのためこれに準じたアップデートを実施することで脆弱性を回避できます。 spring-boot-2-6-6 spring-boot-2-5-12 spring-framework-5.3.18 Tomcat 9.0.62 またこれらのアップデートができない場合、以下の対応を取ることもできます。 不要なパラメータのマッピングを行わないようにコードを追加する （Binding のブラックリストへ class.* 系を追加） Java8 へ一旦ダウングレードする Tomcat 9.0.62 へ Update することで設定値自体の書き換えをできないよ
Spring Coreにおける重大な脆弱性: CVE-2022-22965 (別名: Spring4Shell)
本文の内容は、2022年3月31日にStefano Chiericiが投稿したブログ(https://sysdig.com/blog/cve-2022-22965-spring-core-spring4shell/）を元に日本語に翻訳・再構成した内容となっております。 昨日報告されたSpring cloudの脆弱性に続き、今度は、ポピュラーなJDK9+上のJavaフレームワークSpring CoreにSpring4shell CVE-2022-22965という新たな脆弱性が報告されました。 この脆弱性は、常にリモートでコードを実行（RCE）するもので、攻撃者はマシン上で任意のコードを実行し、ホスト全体を危険にさらすことができるようになります。 影響を受けるバージョンは以下の通りです： 5.3.0 から 5.3.17 まで5.2.0から5.2.19サポートされていない古いバージョンも影響を受
Spring Framework RCE, Early Announcement
Updates [04-13] "Data Binding Rules Vulnerability CVE-2022-22968" follow-up blog post published, related to the "disallowedFields" from the Suggested Workarounds [04-08] Snyk announces an additional attack vector for Glassfish and Payara. See also related Payara, upcoming release announcement [04-04] Updated Am I Impacted with improved description for deployment requirements [04-01] Updated Am I I
続 Cloud Armor の WAF ルールで Apache Log4j 2 の脆弱性対策
Apache Log4j 2 の脆弱性に対応した Cloud Armor の WAF ルールにアップデートがありましたので、別エントリとしてご紹介したいと思います。 元の記事を更新してもよかったのですが、すでに読まれた方には更新が伝わりにくいことと、そもそも Cloud Armor の「事前に設定されたルール」のチューニングについては元の記事では触れていなかったので、別のエントリとして書きました。 Cloud Armor の WAF ルールの更新元の記事で「Google Cloud のエンジニアによるルールのチューニングは随時おこなわれている」と書き、実際に記事を書き終わった直後に試したら、執筆時点ではブロックできてなかった攻撃パターンもブロックされるようになった旨を追記しましたが、さらなる更新がありましたのでご紹介します。 たとえば、昨日 2021 年 12 月 13 日時点では以下のよ
Cloud Armor の WAF ルールで Apache Log4j の脆弱性対策をする
(2021 年 12 月 14 日 21:00 JST 追記：WAF ルールのチューニングについて続編を書きました) Google Cloud Japan Advent Calendar 2021 の 12 日目…ではありません。（12 日目の記事はこちらです。お、たまたま脆弱性関連ですね。） 年の瀬も差し迫った 2021 年 12 月 10 日（金）、Apache Log4j 2 の脆弱性に対するゼロデイ攻撃が可能であることが明らかになりました。 Google Cloud の WAF サービスである Cloud Armor でも、本脆弱性への対策の一つとして使える WAF ルールがリリースされたのでご紹介します。
Log4j2 脆弱性問題における SpringBoot アプリケーションの検証 | DevelopersIO
先日騒ぎになっていた CVE-2021-44228 についてのアプリケーション側の対応について記載いたします。 緩和策としてすでに AWS WAF での Rule の Update 等が行われているため、AWS サービスの詳細については別途記事を御覧ください。 Log4jの脆弱性対策としてAWS WAFのマネージドルールに「Log4JRCE」が追加されました ここでは SpringBoot をベースとしたアプリケーションへの影響と対応可否の判断についてどのような調査を行ったかを記載します。 ひとまず結論 Spring 側から見解がすでに出ています。 Log4J2 Vulnerability and Spring Boot 以下抜粋します。 Spring Boot users are only affected by this vulnerability if they have switc
Spring Security - MyMemoWikiOld
<dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-web</artifactId> <version>${org.springframework-version}</version> </dependency> <dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-config</artifactId> <version>${org.springframework-version}</version> </dependency> <dependency> <groupId>org.springframework.security</group
Spring Security 3.1 リファレンス - テクニカル・サマリ (1) - M12i.
先日、Spring Securityについての拙い翻訳を掲載したのに続いて、今回はその記事でも言及されていたリファレンスマニュアルの“Technical Overview”のチャプターを訳出してみます。いずれにしてもちょっと長いので、まずは前半のみ。（後半はこちら。） 原典は、“6. Technical Overview”（Spring Security Reference Documentation）で、Ben Alex氏とLuke Taylor氏によるものです。 ＊ ＊ ＊ 6. テクニカル・サマリ (1) 6.1 実行環境 Spring Security 3.0には、Java実行環境のバージョン5.0もしくはそれ以上が必要になります。Spring Securityは自己完結型で動作することを目的としているので、Java実行環境上に特殊な設定ファイルなどを配置する必要はありません。とく
Java/ServletとJSESSIONIDのURL管理 - Glamenv-Septzen(ぐらめぬ・ぜぷつぇん)(archive)
Servlet 2.5 今回主に取り上げるTomcat6, Jetty7で対応しているServlet 2.5の仕様を確認すると、"SRV.7.1 Session Tracking Mechanisms"で以下のように記されています。 SRV.7.1.1 Cookies Session tracking through HTTP cookies is the most used session tracking mechanism and is required to be supported by all servlet containers. The container sends a cookie to the client. The client will then return the cookie on each subsequent request to the server,
Spring Bootでユーザ認証
Spring Bootで(というかSpring Securityのような気もするが) ユーザ認証を実装する方法について。 とりあえずハードコードで、という方法は見つかるのだが DBにユーザ情報を格納し ID以外のユーザ情報にもアクセスできるようにする という場合の方法が見つからず苦労したので記録しておく。 概要 以下の作業が必要。 Spring Securityをdependencyに追加する WebSecurityConfigurerAdapterを継承して設定する UserDetailsServiceを継承して認証ロジックをカスタマイズする Spring Securityをdependencyに追加する build.gradleのdependenciesにspring-boot-starter-securityを追加する。 (バージョンは適切なものを選ぶ) dependencies {
2013年3月 Oracle Java SE のクリティカルパッチアップデートに関する注意喚起
各位 JPCERT-AT-2013-0014 JPCERT/CC 2013-03-05 <<< JPCERT/CC Alert 2013-03-05 >>> 2013年3月 Oracle Java SE のクリティカルパッチアップデートに関する注意喚起 https://www.jpcert.or.jp/at/2013/at130014.html I. 概要 Oracle 社の Java SE JDK 及び JRE には、複数の脆弱性があります。遠隔の 第三者は、これらの脆弱性を使用する細工したコンテンツをユーザに開かせる ことで、Java を不正終了させたり、任意のコードを実行させたりする可能性が あります。脆弱性の詳細については、Oracle 社の情報を確認してください。 Oracle 社の情報によると本脆弱性を使用した攻撃が確認されているとのこと です。Oracle 社が提供する修正済
OracleがJava更新版を緊急リリース、「攻撃が観測されているため前倒し」
この記事は会員登録で続きをご覧いただけます申込は簡単3分！ 今すぐ会員登録（無料） 会員の方はこちら 【8/20まで】今なら年額プランが2カ月分お得！ 詳しくはこちら ▼日経クロステック有料会員になると… オリジナル記事がすべて読める 専門雑誌7誌の記事も読み放題 雑誌PDFを月100ページダウンロードできる
Oracle Java SE サポート･ロードマップ
オラクルは、メンテナンスとサポートのオプション、関連するタイムラインを把握していただくために、このOracle Java SE Supportロードマップを公開しています。オラクルによる最新の無料JDKリリースをお探しの場合、oracle.com/javadownloadまたはオープンソース・ライセンス（jdk.java.net）を参照してください。オラクルは、Oracle Java Verified Portfolioに含まれる機能についても、個別のサポート・ロードマップを提供しています。このポートフォリオは、オラクルのお客様に対して完全にサポートされるライブラリ、フレームワーク、ツールで構成されています。 このロードマップにおいて、各用語を以下の意味で使用しています。 オラクルのお客様とは、(1) 有効なJava SE Subscription製品をご利用のお客様、(2) Oracle
Javaの脆弱性を突く攻撃に注意、偽ソフトを勝手にインストール
図1 改ざんされたWebページのソースコード例（米ウェブセンスの情報から引用。以下同じ）。赤線で囲まれた部分が、攻撃者によって追加されたコード セキュリティ会社の米ウェブセンスは2011年6月20日、Javaの実行環境「JRE（Java Runtime Environment）」の脆弱性を悪用する攻撃が相次いでいるとして注意を呼びかけた。細工が施されたWebサイトにアクセスするだけで、「偽ソフト」などを勝手にインストールされる恐れがある。 JREとは、Javaアプリケーションを実行するためのソフトウエア。JREがインストールされていれば、Webブラウザー上でJavaアプリケーションを実行できる。基本的にはバックグラウンドで動作するソフトなので、ユーザーが意識することは少ない。知らずにインストールしていることも多いので、脆弱性を修正した新版が公開されても、アップデートしないユーザーは多いだろ
いま一番危ないぜい弱性は何だ？
最近のセキュリティーベンダーからの報告では、クライアントパソコン（PC）への攻撃の中では特にAdobe ReaderおよびAcrobatのぜい弱性が狙われていることが報告されている。日本IBM セキュリティー・オペレーション・センター（以下、東京SOC）でも、Adobe Reader のぜい弱性が最も攻撃を受けていることを確認しており、注意が必要だと考えている。しかし、危険なぜい弱性が存在するアプリケーションはこれだけではない。今回はGumblar攻撃の被害に遭ったクライアントPCの被害発生原因を調査して判明した、クライアントPCに放置されやすいぜい弱性について解説する。 Gumblar攻撃は、マルウエア感染の成功率を高めるために、複数のアプリケーションのぜい弱性を狙う。以下はGumblar攻撃が攻撃対象としているぜい弱性の一覧である。 ・Java Runtime Environment
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Cybersecurity solutions: SecOps, intelligence, AI, and cloud security
Firebase and Spring boot integration – pscode.rs
Oracle Java SE JDKおよびJREにおける脆弱性の検証レポートを発表（NTTデータ先端技術） | ScanNetSecurity
Google Code Archive - Long-term storage for Google Code Project Hosting.