Spring Frameworkの脆弱性 CVE-2022-22965（Spring4shell）についてまとめてみた - piyolog
2022年3月31日、Spring Frameworkに致命的な脆弱性が確認され、修正版が公開されました。ここでは関連する情報をまとめます。 １．何が起きたの？ JDK9以上で実行されるSpringMVC、SpringWebFluxでリモートコード実行が可能な脆弱性（CVE-2022-22965）が確認された。脆弱性の通称にSpring4shellまたはSpringShellが用いられている。 Spring FrameworkはJavaで採用される主流なフレームワークの1つのため、Javaで実行されるWebアプリケーションで利用している可能性がある。 2022年3月31日時点で脆弱性のExploitコードが出回っており、関連するインターネット上の活動が既に報告されている。 ２．脆弱性を悪用されると何が起きるの？ 脆弱性を悪用された場合、リモートから任意コード実行が行われることで、機密情報の
Seasar2で作った俺たちのサービスの今
2016/05/21（土） 17:00〜17:50 JJUG CCC 2016 Spring GH-6 2011年にリリースした弊社のサービスは、Seasar2ファミリーで構築しました。利用者数は1000万人以上となり、今もサービスとして成長しています。2016/9/26にSeasar2がサポートを終了するというアナウンスを受け、私たちもアクションを起こしました。 サービスには絶え間なく機能改善、機能追加の要件があり、その対応をしながらSeasar2から移行するという前提条件を考慮すると、選択肢は限られます。Scalaなど言語自体を変えることはなく、Javaのままとしました。新規アプリケーションを作成すると監視対象とするアプリケーションの数が増え、様々なコストが増えると考えたため新規とはしませんでした。こういったさまざまな条件のもと、まずはSeasar2で動作している機能から、まずリスクが
Struts/Struts2/Seasar2からSpringへ移行ツールサービス | 株式会社スタイルズ
自動変換ツールによる移行コストの削減 スタイルズでは、Struts/Struts2およびSeasar2からSpringMVCの 自動変換ツールをご提供し、移行コストの削減を図っています。 このツールはコードを解析して、Struts/Struts2/Seasar2仕様のタグを、Spring/JSTL（Java Server Pages Standard Tag Library）のタグに自動変換します。このツールをご利用いただくことで機械的な移行作業コストを大幅に削減することが可能です。 また、変換ツール実施後は、変換不可能な部分の手動によるコード修正、書き直し、テストの実施をいたします。 Struts/Struts2/Seasar2からSpringへの 移行事例一覧 Struts/Struts2/Seasar2から Springへ 移行するサービスの流れ STEP01弊社ツールを利用した 自
サポート切れJavaフレームワーク「Seasar2」の完全移行に成功！スタイルズ移行ツールサービスの対象フレームワークを拡充して提供開始！
◆Strutsとは？ StrutsとはWebの技術を利用して構築するシステムの機能群および骨組み（フレームワーク）の名称です。10年以上前から多くのWebシステム開発で利用されてきましたが、初代Struts（Struts1）は2013年4月にサポート切れを迎え、脆弱性情報が発表されています。しかしながら、2017年9月時点で約273万件のサイト（スタイルズ調べ）がStruts1を利用されたままになっています。 その後、後継Struts（Struts2）が利用されてきましたが、2017年9月には、Struts2を利用した米国の大手信用情報会社が、顧客1億4300万人分の氏名、住所、電話番号、生年月日、運転免許証番号、社会保障番号が漏洩した可能性があると発表しました。一部はクレジットカード番号も含んでいたため、大規模な詐欺を実行するための情報が漏えいしたとされています。その他、日本国内でも官公
Spring Framework 5.0 主な変更点の概要 - Qiita
今回から数回（全7回を予定）にわけて、2017/7月リリース予定で2017/5/8にRC1がリリースされたSpring Framework 5.0の主な変更点（新機能や改善点など）を紹介していきたいと思います。 本エントリーは「New Features and Enhancements in Spring Framework 5.0」で紹介されている内容を、サンプルコードなどを交えて具体的に説明していく予定です。（逆にいうと、「New Features and Enhancements in Spring Framework 5.0」にのっていない変更点は紹介しないので、あしからず・・・ ） なお、初回である今回は簡単な概要説明(日本語化+α)にとどめておき、次回から具体的な説明を行っていきます。 トピック 本エントリーでは、Spring Framework 5.0の主な変更点を以下の8つ
我々はいかにして技術選択を間違えたのか？ 2016 - Cybozu Inside Out | サイボウズエンジニアのブログ
どうも！アプリケーション基盤チームの横田(@yokotaso)です！ kintoneなどで利用していたJavaフレームワークのSeasarのEOLに伴い、S2Daoからの脱却を試みたのですが、パフォーマンス問題や障害を発生させてしまうなど問題を多々発生させてしまいました。 同じ過ちを繰り返さないという強い決意のもと、今回の失敗をブログで公開いたします。 失敗をあえて公開する点で斬新かつ濃いブログ記事となっております！ 失敗体験の公開は恥だが役に立つ！ 移行先の選定の失敗 移行先として選定したプロダクトは Hibernate*1です。 Hibernateを選んだ理由としては Spring Framework を選定した Spring Frameworkで Interface + アノテーションでプログラミングするならSpring Data JPA が有力 JPAに準拠したのORMの中でも、H
アメブロの大規模システム刷新と それを支えるSpring
15. Struts 1.x , S2Struts, Spring 3.x ● Struts から Spring3 に移行しようと頑張った 形跡はある… ● ややこしい ● 学習コスト 15
Spring Day 2016 - Web API アクセス制御の最適解
マイクロサービスアーキテクチャが話題を集め、コンポーネントのWeb API化が更なる急加速を見せる昨今。 とは言え「誰でも自由に叩いて良い」Web APIなんてのは事実上無く、ほぼ全てのケースで何かしらのアクセス制御が必要になります。 - Spring Security もサポートする昔ながらの「Basic認証」。古い、ということは、悪いソリューションなのか？ - 最近のAPIのアクセス制御と言えば「OAuth 2.0」がトレンディ？ Spring Security OAuth もあるし！ - 一方でAWSは「APIキー方式」を採用。なぜAWSはOAuth2ではないのか？ - Spring Security はまだ公式にサポートしていない「OpenID Connect」とは一体…？ Webにおけるアクセス制御の歴史を振り返りつつ、様々なAPIの立ち位置と共に、その最適解を探っていきたいと思
Jsug2015 summer spring適用におけるバッドノウハウとベタープラクティス
2015年GMOペパボ新卒エンジニア研修、Webオペレーション研修イントロダクションの資料 * http://www.slideshare.net/hifumis/20150608-thetaoofpepaboengineer-49152106 * http://www.slideshare.net/hifumis/20150609-webdevelopmenttraining * http://www.slideshare.net/hifumis/20150706-weboperationtraining * http://blog.hifumi.info/2015/06/14/pepabo-engineer-training-2015/ * http://blog.hifumi.info/2015/07/20/pepabo-web-operation-training-2015/
Spring Framework / Boot / Data 徹底活用 〜Spring Data Redis 編〜
4. ! ! ! ! ! ! ! ! ! API/バックエンド 本日の内容 Spring BootでのSpring Data Redisの使い方と プラクティス Spring Boot Spring Framework Spring Rabbit Spring Boot Autoconfigure Spring JMS Spring Boot Actuator Spring Data Redis Spring Data Elasticsearch Spring ・・・ 5. Spring Data Redis ■ SpringでRedisを操作するためのライブラリ ■ JedisのローレベルAPIを使うのではなく利用しやすいTemplateを提供している ! @Autowired private RedisTemplate<Object, Object> redisTemplate; ! p
初めての Java EE 開発から学んだこと JJUG CCC 2014 Spring
2014年5月18日、ベルサール西新宿にて行われたJJUG CCC 2014 Springにて発表させて頂いたプレゼンの資料です。
Spring MVC 3.0/3.1/3.2 Cookbook - タツノオトシゴのブログ
Spring MVC 3.0/3.1/3.2の日本語の実用レベルのまとまった情報が少ないので、ドキュメントとして、クックブック的なレシピ集としてまとめたものとして公開します。 まだ、書きかけのところもありますが、Spring MVCの大体の機能は説明できていると思います。 基本的に、自分が使っている機能をまとめています。 Spring MVCに直接関係しないものも多々あります。書いていたら、いつの間にか増えてました（JAXBやRELAX NGとか）。 今後も主にこの方針で更新していきますが、ページ数が多くなった場合、分割するかもしれません。 目指すところ Webアプリケーションを作成するときに、フレームワークの選定する際の候補としてSpring MVCも入れてほしいので、その参考資料としても使えるようにする。また、目次をみれば、Spring MVCで何ができるのかできるだけわかるようにする
Spring Framework 4.0は9月登場予定のJava 8対応。Spring Sourceが方針を発表
Spring Framework 4.0は9月登場予定のJava 8対応。Spring Sourceが方針を発表 主要なJavaフレームワークの1つであり、Pojo（Plan Old Java Object）やDI（Dependency Injection）といった技術が注目されるきっかけの1つでもあったSpring Frameworkの次バージョン「Spring Framework 4.0」は、今年9月にリリース予定のJava 8対応になることなどを、開発元のSpring Sourceが明らかにしました。 Spring Framework 4.0のおもな特徴は、以下のようになるとのことです（日本語訳したらかえって分かりにくくなってしまったので、原文のまま引用します）。 First-class support for Java SE 8 based Spring applications:
Spring/Testing - solutionlog @ ウィキ
Spring > Testing Unitテスト SpringでDIを使えばPojoだからJUnit,TestNGでテストできる モックオブジェクトを使う Unitテストはすばやく終わらないとだめ モックオブジェクト JNDI SPI org.springframework.mock.jndi JavaEEコンテナのデータソースとか Servlet API org.springframework.mock.web Spring Web MVCで使われるオブジェクトのモック Webコンテキストとコントローラのテスト Portlet API org.springframework.mock.web.portlet Spring Portlet MVCで使われるオブジェクトのモック サポートクラス ReflectionTestUtils 非publicなフィールドへの代入、setterの呼び出し
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Spring 5に備えるリアクティブプログラミング入門
Lineにおけるspring frameworkの活用
Spring4とSpring Bootで作る次世代Springアプリケーション #jjug #jsug
最近の Java Web 開発 : http://qiita.com/monzou/items/9174d0baf08af295e703
Loading...
closed