Log4jの深刻な脆弱性CVE-2021-44228についてまとめてみた - piyolog
2021年12月10日、Javaベースのログ出力ライブラリ「Apache Log4j」の2.x系バージョン（以降はLog4j2と記載）で確認された深刻な脆弱性を修正したバージョンが公開されました。セキュリティ関係組織では過去話題になったHeartbleedやShellshockと同レベルの脆弱性とも評価しています。ここでは関連する情報をまとめます。 １．何が起きたの？ Javaベースのログ出力ライブラリLog4j2で深刻な脆弱性（CVE-2021-44228）を修正したバージョンが公開された。その後も修正が不完全であったことなどを理由に2件の脆弱性が修正された。 広く利用されているライブラリであるため影響を受ける対象が多く存在するとみられ、攻撃が容易であることから2014年のHeartbleed、Shellshock以来の危険性があるとみる向きもあり、The Apache Software
30億のデバイスで任意コードが実行できちゃうJava - Qiita
免責事項 こちらの記事で紹介する内容は、教育目的または脆弱性について仕組みを理解し周知、啓発を行うためだけに作成しております。 ぜったいに、悪用しないでください。 記載されているコードを実行した場合に発生した損害には一切責任を負いません。 理解される方のみ下にスクロールしてください。 経緯 2021/12/9にて、超有名なログ出力ライブラリであるlog4jの第2世代で任意コードが実行可能であると報告されました。 Apache Log4j2 jndi RCE#apache #rcehttps://t.co/ZDmc7S9WW7 pic.twitter.com/CdSlSCytaD — p0rz9 (@P0rZ9) December 9, 2021 ※上記は特定の文字列をログ出力させることで、ペイントツール(draw.exe)を実行している Minecraft(Java版)のチャット機能にてこ
GoFの23のデザインパターンを，Javaで活用するための一覧表 （パターンごとの要約コメント付き） - 主に言語とシステム開発に関して
GoFデザインパターンの一覧表と，活用のためのコメント，および入門者が独学するためのリンク集（サンプルコード付き）。 入門者の独学を支援するために，このページのURLを提示して熟読させ，各パターンを短時間で効率よく学んでもらう。 デザインパターンはプログラマの常識だ。 Java使いかどうかは問わない。 にも関わらず，入門書を買ったまま，途中で挫折する人が多い。 挫折の原因は，パターンの数が23もあって，多いからだろう。 全パターンをすんなり覚えてもらうためには，各パターンごとに 「要するにこういう目的のパターンなんだ。」 「10文字で表現すると，パターンの意味はこうなんだ。」 という要点・本質を，短いコメントで伝えれば助けになるだろう。 こういった学習を通して，Java言語の「設計思想」も併せて感じ取ってゆけるはず。 全パターンの一覧表（要約コメント付き） 全パターンについて，10文字以内
「業務系システムは今すぐ脱Strutsを！」業務システムエンジニアのためのHTML5勉強会#04 活動報告 | gihyo.jp
「業務系システムは今すぐ脱Strutsを！」業務システムエンジニアのためのHTML5勉強会#04 活動報告 2013年9月9日、日本Javaユーザグループとhtml5jえんぷら部で共同開催「業務システムのためのHTML5勉強会#04」は、GREE様の会場提供で六本木の森タワーにて開催されました。 テーマは「Web x Java」。WebとJavaを組み合わせたWebシステム開発が、どのような方向に向かっているのか、どういう技術により実現されるのかを探る目的で開催されたイベントです。 「Webの技術」では、jQueryの登場が、インタラクティブなフロントエンド実現を容易にし、HTML5の普及でさらに拍車を掛けます。フロントエンドの開発は、マルチデバイス対応、ポリフィル・シムから、ビルドプロセスにテストツールと、様々な技術要素が絡み合います。そして、数年前には想像もつかないほどの高い専門性
グーグルとオラクル：邪悪なのはどっちか？ | 栗原潔のIT弁理士日記
「『グーグルCEOの行為は”邪悪”だった』:オラクルCEOエリソン氏、L・ペイジ氏を語る」なんて記事がCNETに出ています。エリソン氏がインタビューにおいて、グーグルに対する知財訴訟におけるその企業姿勢について、グーグルの企業モットーである”Don’t be Evil”を引き合いに出して批判したというお話であります。 オラクル対グーグルの裁判は、アップル対サムスン裁判の陰に隠れて目立たなくなっている感もあるので、現状どうなっているかをここで簡単にまとめておきましょう（参考資料：WikipediaのOracle v. Googleのエントリー等）。 この訴訟は、オラクルが、買収したサンマイクロシステムズのJava関連の著作権と特許権をAndroidが侵害しているということで、2010年7月に北カリフォルニア連邦地裁でグーグルを訴えたことに始まります。 まず、特許権の方ですが、米国特許6061
Androidアプリケーションのリバースエンジニアリング
[PR]株式会社セキュアスカイ・テクノロジーのAndroidアプリケーション診断 結論を先に書くと、Androidアプリケーションのリバースエンジニアリングは非常に簡単である。理由は大きく2つあり、一つはそれがJavaアプリケーションであること、もうひとつはAndroidがオープンソースであることだ（ただしJNI等を使ってC++やCのコードなどを呼び出している場合には、下層のモジュールの解析は通常のCアプリケーション同様に面倒ではないかと考えられる）。 Androidアプリケーションは.apkという拡張子でファイル単体で配布されるので、まずそれを用意する。筆者はAppMonsterというツールを使っている。このツールだと簡単にSDカードにapkファイルを保存してくれる。このエントリでは例としてテスト用のアプリケーションであるandroid1.apkを使用する。 apkファイルはZIP形式の
Javaの生みの親J・ゴスリング氏、グーグルに入社
Sun Microsystemsで「Java」の基礎を築いた著名なプログラマーであるJames Gosling氏がGoogleに入社した。Googleは現在、「Android」におけるJavaに関連した著作権および特許権をめぐり、Oracleと争っている。 Gosling氏は米国時間3月28日、新しくGoogleに入社したことを自身のブログで発表した。「何に従事することになるかはわからない。あらゆることに少しずつ関与し、無愛想な頑固者の風味をたっぷりとふりかけることになると思う」と同氏は述べた。 2010年にOracleがSun Microsystemsを買収した際、Gosling氏はOracleに入社しなかった。 Oracleの方針は明らかにGosling氏の意に反していた。同氏はOracleの最高経営責任者（CEO）であるLarry Ellison氏のことを、「暗闇の王子Larry」と
米Appleが新製品からFlashプラグイン排除、将来的にはJavaも削除か | パソコン | マイコミジャーナル
先日発表されたMacBook Airの発送が開始され、一部ユーザーの手元に届き始めているようだが、同マシンにはAdobeのFlashプラグインがデフォルトの状態でプリインストールされていないことが判明し、話題になっている。同時にAppleは開発者向けのアナウンスでMac OS X向けのJavaアップデートを現行バージョンで打ち切る方針も示しており、今後発売される新マシンや次世代Mac OS X "Lion"では、これらのフレームワークが提供されない可能性が高まっている。 新型MacBook Air MacBook Airにデフォルト状態でFlashプラグインが存在しないことは、EngadgetがAir発表日に報告している。後にReutersなどのメディアが報じたところによれば、Appleは10月22日(現地時間)になり「今後Flashプレイヤーのプリインストール提供は行わない」ことを正式発
Javaの脆弱性を狙う攻撃が激増――Microsoftの報告
Javaの脆弱性を悪用しようとする攻撃が今年に入って急増し、PDF攻撃の件数を上回るようになったという。 米Microsoftは10月18日のMalware Protection Centerブログで、Javaの脆弱性を突いた攻撃が激増していると報告した。 ソフトウェアの脆弱性を突く攻撃をめぐっては、2009年までAdobe製品の脆弱性を突いたPDF攻撃の増加が注目されていたが、Microsoftによれば、今年に入ってJavaの脆弱性を悪用しようとする攻撃が、PDF攻撃の件数を上回るようになったという。 特に第3四半期にはJava攻撃が激増したが、これは3件の脆弱性を突いた攻撃が突出したことによるものだという。しかも3件とも、Oracleがセキュリティアップデートで対処済みの脆弱性だった。 その背景には、JavaがAdobe Acrobatと同様、広く普及しているにもかかわらずユーザーが更
グーグル、オラクルのJava特許訴訟で反論--特許無効の判断を求める
UPDATE Googleは米国時間10月4日、OracleとのJavaをめぐる論争に関し、反論に出た。同社は、Oracleがそのライセンスポリシーを、かつては批判していたにもかかわらず、今になって支持しようとしていると主張した。 Googleは4日夜、同社がJavaに関連する特許を侵害しているとするOracleの訴えに対する答弁書を、米カリフォルニア州北部地区連邦地方裁判所に提出した。Oracleは2010年8月、2009年のSun Microsystems買収により取得した特許に関し、「Android」における仮想マシン「Dalvik」の実装などにおいてGoogleが最大7件の特許を侵害していると主張した。 Googleはこれに対し、特許を侵害しているというOracleの主張を否定するとともに、特許が無効だという判断をWilliam Alsup判事に求めた。Googleは、自社の主張の
Google、JavaOneへの不参加を表明 Oracleとの訴訟の影響で
OracleとJava特許侵害で係争中のGoogleが、Oracle主催のJavaOneへの不参加を発表した。 米Googleは8月26日（現地時間）、米Oracleが9月19日～23日にサンフランシスコで開催するJava開発者向けカンファレンス「JavaOne 2010」に参加しないと発表した。Oracleが同社をJava関連の特許および著作権侵害で提訴したため、「Javaとオープンソースの未来に関するわれわれのアイデアを自由に共有できなくなってしまった」としている。 Oracleは12日、GoogleがJavaに関連する7件の特許および著作権を侵害しているとしてGoogleを提訴した。Googleはこの訴訟を「事実無根」であると反論し、オープンソース標準を「断固として防衛」するとともに自社のAndroid OSを守ると言明している。 JavaOneは、米Sun Microsystems
Androidエンジニアの需要増加もスキル要求は厳しく - システム業界動向 | 経営 | マイコミジャーナル
ビーブレイクシステムズは4月9日、システム業界における景気動向をまとめたレポートを発表した。同社は自社で手がけたシステム案件などをもとに現場の目線で分析したシステム業界の景気動向を定期的に発信している。 最近、携帯電話キャリア各社から新端末のリリースが相次いでおり、スマートフォン市場は一層の拡大が見込まれるが、開発案件でもiPhone、Androidの案件が増えているという。 そのため、これまで携帯コンテンツの開発案件を扱っていなかった企業によるスマートフォン関連の案件への参入が目立つようになってきたとのこと。なかでも、Androidエンジニアの需要が増えていることから、Androidの普及が広がってきたと同社では見ている。 ただし、Android案件で求められるエンジニアには、Androidの開発経験に加えてJavaエンジニアとしての経験を重視されているという。同社はその理由として、「A
アンドロイドアプリができるまで：004 メイン画面のUIとコード解説
まず、各機能のアイコンをデザインし直し、ボタンとして配置しました。ボタンにすることで「押すとそれぞれの設定画面に遷移する」ということが直感的にわかるようになり、ユーザビリティもあがりました。また、前版では巨大な「アラームのON/OFF」ボタンをメイン画面に設置していましたが、「アラームの時刻設定」と「アラームのON/OFF」はアラーム画面にまとめてしまうことにしました。さらに、それぞれのボタンのタイトルと機能の説明を、ボタンの色合いに合わせて設置してみました。 このように、どういった文言やデザイン、配色を用いればユーザにとって機能がわかりやすいか、使いやすいか、ということを考えながら手を加えていきます。 いかがでしょうか。第一印象がずいぶん変わったと思います。仕上げに、タイトルロゴとキャッチコピーを設置。ちなみに「振って止める目覚ましアラーム」というキャッチコピーはビッグローブ様から提案い
アンドロイドアプリができるまで：003 目覚ましアプリ「Shwakeup」の企画
開発のポイントは 日常的に使用されることを想定したAndroidアプリ。 Androidアプリは、andronaviから2月より3月末まで順次無料ダウンロードにより配布。 企画提案から開発納品までを一括でおまかせ。 というもの。 私たちにとっては、 無料ダウンロード → 多くの方に使ってもらえる → タオソフトウェアを知ってもらえる → うれしい。 おまかせ → やりたい放題 → 試してみたいこともあるし → うれしい。 ということで喜んで引き受けさせていただくことにしました。 何を作ろうか？ さて、「日常的に使用されることを想定したAndroidアプリ」ということで、考えること数分。あっさり「目覚まし時計を作ろう！」ということになりました。「日常的」＝「目覚まし」というつながり。タオソフトウェアの開発者がいかに「お寝坊さん」なのかがわかりますね（笑）。おまかせの開発なので、自分で使いたく
Android NDKを使用してJava言語とC言語で速度比較をする | Techfirm Android Lab
今回はAndroid NDKを使用して、JavaコードとC言語で記述されたNativeコードで速度の比較を行おうと思います。 まずはNDKをインストールします。以下のリンクからndkをダウンロードします。 http://developer.android.com/intl/ja/sdk/ndk/1.6_r1/index.html ダウンロードしてきたら以下を実行しインストールします。 $(NDKROOT)/build/host-setup.sh これでインストールが完了です。簡単ですね。 早速、Javaのコードを書いて速度比較していきましょう。 今回は簡単に１億回足し算を行い、JavaとNativeで比較してみます。 public class JniTest extends Activity { @Override public void onCreate(Bundle savedI
アンドロイドアプリができるまで:002 環境構築の仕上げ
SDKインストール SDK自体は、前回アーカイブを解凍してアプリケーションフォルダに配置済みです。次に何をすれば良いのでしょうか？。SDKのインストールガイドを見てみましょう。 「SDKのtoolsディレクトリをPATHに追加しても良いですよ」と書いてあるようです。これをしておくと、Androidのコマンドラインツール達を使用する際に、フルパス指定しなくても済むということです。私の環境（Mac OS X)の場合は、ログインユーザの.bash_profileを編集せよとのこと。vi を起動して、以下の１行を追加しました。 export PATH=$PATH:/Applications/android-sdk-mac_86/tools これでよし、です。 ADTプラグインのインストール 次はADTプラグインのインストールです。インストールガイドによると、ADT=Android Developm
アンドロイドアプリができるまで:001 開発環境の準備
アンドロイドファンの皆様、初めまして。タオソフトウェアのため吉と申します。縁あって、今週からアンドロイドアプリの開発について連載することになりました。よろしくお願いいたします。 皆さんが使っているアンドロイド端末にもたくさんのアプリケーションがインストールされていると思います。中には「これがなくっちゃ暮らせない！」というほどの生活必需品になっているアプリもあるかも知れません。当たり前ですが、そういう素敵なアプリケーション達は全て「人が手作り」したものです。 この連載ではアプリケーションが出来るまでの工程を皆さんにお伝えしながら、アプリアイコンの裏に隠れた作者側の思いやドラマを描くことができたらいいなぁ、と思っています。 どうぞよろしくおつきあいくださいませ。 アンドロイドアプリをつくるためには まずはアンドロイドアプリを作るためにはどんなものが必要なのかというところから始めたいと思います。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
マイクラもハッキング ～「Apache Log4j」ライブラリに致命的なリモートコード実行のゼロデイ脆弱性【12月10日18:45追記】／「CVE-2021-44228」のCVE番号が割り当てられる予定。かなり広範囲に影響か。【やじうまの杜】
アンドロイドアプリができるまで：005 アラーム音と加速度センサーによるアラームストップ機能の解説
Java™ バージョン概要