Tomcatに見つかった3つの脆弱性について
はじめに Apache Tomcatに立て続けに見つかったCVE-2017-12615～12617の3つの脆弱性は基本的には同じ原因によるものでした。3つのうち2つは任意のJSPファイルをPUTリクエストでアップロードできてしまい、アップロード後にアクセスすることでJavaのコードが実行できてしまう、というパターンのRCE。残りの1つはJSPがそのまま静的ファイルとしてアクセス可能なためにソースコードが漏洩してしまう、というものです。 今回JPCERT/CCも注意喚起するなど、広く知られることになりましたが、一方でなかなかパッチが提供されないという状況にもなっています。今回はこの脆弱性についての調査を報告します。 readonlyパラメータとは何か JSPがアップロードできてしまうのはreadonlyパラメータがfalseになっている場合です。このパラメータはデフォルトでtrueであり、f
ねこ踏んじゃった系エントリ：Tomcatいじめたら意外と強かったこと #javaee
これは Java EE Advent Calendar 2014 の6日目です。昨日は tq_jappy さんの「Java SE 8とJava EE 7によるアプリケーションのモダナイゼーション～中間ふりかえり～」、明日は yamadamn さんです。 ServletだってJava EE、だったらTomcatだって。。。 Java EEと言えばWildFlyかGlassfishかあるいは商用アプリケーションサーバーで、CDIとかEJBとかJSF....を使うかっこいいやつを言うらしいです。。。でも僕はまだ使ったことがありません。 僕はまだTomcatを使っています。 Tomcatといえば「可愛くないねこ」 ＿人人人人人人人人人＿ ＞ 可愛くないねこ ＜ ￣Y^Y^Y^Y^Y^Y^Y^Y￣ など、散々な言われ方をしています。。そんないじめなくてもいいのに！たしかに拡張性がありそうで意外とそう
Java 最近のアプリケーションサーバー事情（2015年） - 技術ブログ | 株式会社クラウディア
みなさんこんにちは、masa です。今日は最近の Java アプリケーションサーバー事情について取り上げます。 あまり流行り廃りの激しくない Java サーバーですが、 Spring Boot RC版で Tomcat のほかに Jetty や Undertow が選択できることを知り、改めて最近の Java アプリケーションサーバーのトレンドを調べてみたくなった次第です。 Google トレンドの結果は以下の通り 2015年 2010年 Tomcat がダントツなのは昔から変わりませんが、変化としては Jetty がこの5年で上げてきているところが気になります。 各アプリケーションサーバーの特徴をオープンソース、オラクル、レッドハット、IBM 系にわけてまとめてみました。※()内は正式名称 Tomcat (Apache Tomcat) オープンソース 1999年誕生。なんだかんだと10
Tomcat Cluster のセッションレプリケーションのハマりどころ |
Apache Tomcat を複数台のクラスタ構成にし、Tomcat 間でセッション情報を共有するセッションレプリケーション機能を利用した開発プロジェクトをいくつか経験してきましたが、それらのプロジェクト内において誰かしら同じ内容でハマるので、本稿では今まで経験してきた”ハマりどころ”を共有し、今後のプロジェクトに役立てたいと思います。 本稿では、Tomcat にデプロイされるアプリケーションの観点と、Tomcat そのものの設定の観点の両方について、今までにハマったポイントを解説します。 アプリケーションの web.xml に distributable の指定を忘れる Java の WEB アプリケーションでは、アプリケーション内に web.xml を持つ必要がありますが、セッションレプリケーション機能を利用するアプリケーションを Tomcat にデプロイする場合には distribu
詳解 Tomcat
本書は根強い人気を誇るJavaアプリケーションサーバ、Tomcatについて解説したものです。日本人唯一のTomcat PMC（プロジェクト管理委員会）メンバーであり、アクティブコミッタである藤野圭一氏による執筆で、Tomcatの機能や使い方についてだけでなく、アーキテクチャについても踏み込んで詳しく解説することで、さらに深い理解を促し、中上級者が自分で機能を拡張してカスタマイズできるような情報も提供します。最新バージョンTomcat 8に対応した唯一無二の書籍です。 正誤表 ここで紹介する正誤表には、書籍発行後に気づいた誤植や更新された情報を掲載しています。以下のリストに記載の年月は、正誤表を作成し、増刷書籍を印刷した月です。お手持ちの書籍では、すでに修正が施されている場合がありますので、書籍最終ページの奥付でお手持ちの書籍の刷版、刷り年月日をご確認の上、ご利用ください。 第2刷正誤表 ※
Tomcat7 でゼロダウンタイムデプロイ - mallowlabsの備忘録
「Web アプリのバージョンアップ時に Tomcat を再起動してもいいのは小学生までだよねー」 ということで、Tomcat でダウンタイム無しで Web アプリのバージョンアップをする方法についてまとめてみる。 Parallel Deployment Tomcat 7 から Parallel Deployment という機能が追加され、同一 Web アプリの複数バージョンを同時にデプロイができるようになった。 war のファイル名を somewebapp##001.war 等にしておくことで、 - $CATALINA_BASE/ - webapps/ - somewebapp##001.war - somewebapp##002.warのように配備をすると、 http://localhost:8080/somewebapp/ でアクセスした場合に、セッションが継続している場合には古い方(
Javaメモリ、GCチューニングとそれにまつわるトラブル対応手順まとめ - 日記のような何か
GC周りでトラブルシューティングした際の経験や、Web等で調べたことをまとめてみる。 前提 ・JVMは、Sun Javaを想定。(他は使ったことないです。。。) ・Sun Java 1.5-1.6を想定。 目標 マイナーGC、Full GCそれぞれが頻発することなく、かつそれぞれの実行時間を1秒未満に抑えること。 マイナーGCは1秒未満どころではなく、もっと短くなるべき。どれくらいが理想かは？(0.1秒未満ぐらいを目指したい？) 連続した負荷状態(想定されるピークアクセス)でもOutOfMemoryErrorが発生しないこと。 理想的な状態は、上記に加えて、Full GCの発生が低頻度であること。 具体的には、できるだけマイナーGCで短命オブジェクト(1回使ったらもう使わないようなオブジェクト。逆にセッションオブジェクト等は長命オブジェクトとなる)を破棄させて、短命オブジェクトが、Tenu
Cve 2013-2251
BOSS CONのWebノウハウシェア2013の講演資料です。SSRFやPHP5.5の新機能などを紹介しています。
JVMのチューニング - ITエンジニアとして生きる
前回、JVMとGCのしくみ - ITエンジニアとして生きるでJVMとGCのしくみについて書いた。 今回はその続きということでJVMのチューニングについて書きたいと思う。 JVMチューニングって -Xms ・・・ ヒープ全体（New領域＋Old領域）の初期値 -Xmx ・・・ ヒープ全体（New領域＋Old領域）の最大値 くらいしか話題に上がらないし意識しないことが多い（気がする）。 でもホントはこれだけではダメで、前回のようにPermanent領域、New領域、Old領域を意識したチューニングが必要になる。 VMチューニングを考えるその前に・・・チューニングの話をする前にまずVMの起動モードについて話したいと思う。 VMには大きく以下２つの起動モードがあり、それぞれ以下のような特徴を持つ。 ◆クライアントVMモード 起動時間を短縮し、メモリサイズを縮小するように調整されている。 VM起動時
Hacking Apache Tomcat | ColeSec Security
Apache Tomcat has a feature where you can upload a package. The package is a .war file that is essentially a Tomcat application. If you can get to the administration panel and upload a bad application, then you can get command line on the box. This attack is especially useful if you find a forgotten installation of Apache Tomcat that nobody bothered to take down. Often times the credentials are
DbUtilsで結果セットをJavaBeansにマッピングする
基本的なデータベースアクセス方法の問題 Javaから一般的なリレーショナルデータベース（以下、データベースと呼称）にアクセスするには、以下に示すようにjava.sqlパッケージのConnection、Statement、ResultSetを使うのが基本です。 InitialContext init = new InitialContext( ); DataSource ds = (DataSource)init.lookup("java:comp/env/jdbc/TestDB"); Connection con = ds.getConnection(); Statement st = con.createStatement(); ResultSet rs = st.executeQuery("select * from items;"); ……// rsから結果を取得 rs.close(
Java/ServletとJSESSIONIDのURL管理 - Glamenv-Septzen.net
Servlet 2.5 今回主に取り上げるTomcat6, Jetty7で対応しているServlet 2.5の仕様を確認すると、"SRV.7.1 Session Tracking Mechanisms"で以下のように記されています。 SRV.7.1.1 Cookies Session tracking through HTTP cookies is the most used session tracking mechanism and is required to be supported by all servlet containers. The container sends a cookie to the client. The client will then return the cookie on each subsequent request to the server,
コードリーディング Tomcatのソースを読んでみよう 準備編 BlueWell2
今回のエントリから、Apache Tomcat を題材としたコードリーディングを始めます。 Tomcat の全体像の理解と、起動やリクエスト処理などで何が行われているかを 大雑把に把握することを目的とします。 まずはTomcat自体の説明と、コードリーディングを行う上であると便利なものをご紹介します。 Apache Tomcat - Wikipedia Apache Tomcat (アパッチ トムキャット) は、Java Servlet や JavaServer Pages (JSP) を実行するためのサーブレットコンテナ（サーブレットエンジン）である。Apache License, Version 2.0を採用したオープンソースソフトウェアであり、商用利用も多い。Java Servlet 3.0、JavaServer Pages 2.2対応。バージョン 7.0 は JDK 6 以降が必要
TomcatとかJavaの世界に片足を突っ込んでみて気になったところ - kanonji’s diary
TomcatとかJavaとかほとんど知らないけど、とりあえず少しは把握してないといけなくなったので調べてみました。片足突っ込んだだけなので、かなり触りの部分。でも、phpとかとは構成が違いすぎて、色々調べないと、とりあえず起動してJavaを書けば実行できるところまでたどり着けなかったです。そういう部分を書き立てた感じ。 ちなみに、Cygwin上で動かしてます。 Tomcatとは webコンテナ。 Catalina サーブレットコンテナ Coyote HTTPサーバー TomcatはCatalinaとCoyoteを内包してるプロダクト。Tomcatをサーブレットコンテナと呼ぶ事もあるけど、Catalinaもサーブレットコンテナなので、紛らわしいのでwebコンテナと呼ばれるらしい。狭義ではCatalinaがサーブレットコンテナだけど、広義の意味でTomcatをサーブレットコンテナと呼ぶこともあ
TomcatのJVM（Java Virtual Machine）チューニング例 - 銀の鍵
One thing to realize about our fractional reserve banking system is that, like a child's game of musical chairs, as long as the music is playing, there are no losers. Andrew Gause, Monetary Historian 「部分準備金融制度について一つだけ実現している事は、 子供の椅子取りゲームのように、 音楽が流れ続けている限りは敗者が存在しないということである。」 アンドリュー ガウス、金融史家 【Sun HotSpot VMのガベージコレクションとヒープ】 TomcatはApache Software Foundationが提供するフリーのサーブレットコンテナ実装です。要するにJ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Hacking with JSP Shells
IBM Developer