Javaなら「この書き方がベスト」と信じて書ける - きしだなおきに聞く、Javaのこれまでとこれから｜ハイクラス転職・求人情報サイト AMBI（アンビ）
ハイクラス求人TOPIT記事一覧Javaなら「この書き方がベスト」と信じて書ける - きしだなおきに聞く、Javaのこれまでとこれから Javaなら「この書き方がベスト」と信じて書ける - きしだなおきに聞く、Javaのこれまでとこれから Javaは1995年に誕生し、数多くのコミュニティや企業の影響を色濃く受けてきました。では、黎明期から現代に至るまで、Javaはどのように進化し、生態系を変化させてきたのでしょうか。Javaのスペシャリストとして知られる、きしだなおきさんに聞きました。 1995年に誕生した、オブジェクト指向プログラミング言語・Java。この言語の歴史は、数多くのコミュニティや企業の影響を色濃く受けてきました。 例えば、OracleによるSun Microsystemsの買収後、Javaのリリースサイクルは大きく変化しました。また日本においては、JavaカンファレンスやS
はじめに Log4jやStruts2など、Java製ソフトウェアにおいてリモートからの任意のコード実行(RCE)の脆弱性が目立つ時代になってしまっていますが、これにさらにSpringも加わってきました。この記事では特にCVE-2022-22965に焦点を当て、技術的な視点からの解説を行ってみます。 なぜJavaアプリでRCEとなるのか? Javaの(特にウェブアプリケーションで)RCEとなるパターンはいくつか知られており、以前こちらの記事にまとめました。今回のCVE-2022-22965はこの記事の「3. クラスローダを操作できてしまうパターン」のパターンになります。 なぜクラスローダを操作できるのか? そもそも「クラスローダの操作」とは何を意味しているのでしょうか。この文脈では、Javaのプロセス内のクラスローダ系のクラスのインスタンスの、getterやsetterのメソッドを攻撃者が実
2020 年 12 月 8 日に Apache Struts 2 の脆弱性 S2-061（CVE-2020-17530）が公開されました。 影響としては、Struts 2.5.25 までのバージョンで OGNL 式の二重評価によってリモートコード実行（RCE）が引き起こされる恐れがあります。 また、既に PoC（攻撃）コードが公開されていますので、Apache Struts 2 を利用されている方は 2.5.26 へアップデートを行うことをお勧めします。 Security Bulletins S2-061 https://cwiki.apache.org/confluence/display/WW/S2-061 yamory では、PoC コードの検証を行い悪用可能であることも確認しました。 脆弱性を悪用した攻撃の仕組み 検証環境今回は以下のような環境で検証を行いました。 ベースイメージ
Apache Strutsに存在するRCE 脆弱性（CVE-2023-50164, S2-066）についての検証レポート | NTTデータ先端技術株式会社
2023年12月7日にApache Software Foundationにより修正されたApache Strutsに存在するリモートコード実行の脆弱性（CVE-2023-50164, S2-066）についての検証を実施し、脆弱性の悪用が可能であることを確認しました。 1. 本脆弱性の概要 Apache Struts は、Apache Software Foundationが提供するWebアプリケーションのフレームワークで、Javaによる実装として幅広く利用されています。 本脆弱性の悪用に成功した場合は攻撃者がリモートから任意のコードを実行できる可能性があり、 Apache Software FoundationによるとCVSSv3スコアは9.8、SeverityはCriticalと評価されています。[1] また、概念実証（PoC）コードも数多く公開されており、攻撃の観測も報告されているこ
S2-062(CVE-2021-31805) に関する任意のコード実行について | セキュリティブログ | 脆弱性診断（セキュリティ診断）のGMOサイバーセキュリティ byイエラエ
2022年4月19日 00:22 PM （JST） こんにちは、くまさかです。 本脆弱性に関しては既に様々な情報が出ておりますが、それらの情報に関し少し注意すべき点があるため、その共有と検証結果等を紹介します。 既に、OGNL式%{.*}等にてシグネチャを書かれた防御側の皆様は、本ページの項目「攻撃クエリの特徴は%{.*}ではない」 をご覧ください。 概要 既にJPCRERTより、S2-062について注意喚起が出ている ので、ご存じの方も多いかと思いますが、 Apache Struts 2.0.0 から、2.5.29 までで、 任意のコード実行 が可能な脆弱性があります。 なお、既に修正版の、Apache Struts 2.5.30 がリリース されているので、こちらへのアップデートを推奨します。 発動条件 本脆弱性は、OGNL式が存在するnameエレメントがあり、且つ、同一タグ上でval
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SpringのRCE脆弱性(CVE-2022-22965)について
Blog｜Apache Struts 2 の脆弱性 S2-061（CVE-2020-17530）PoC 検証