はじめに 2017年3月、Struts2にまたしても新たな脆弱性(S2-045、S2-046)が見つかり、複数のウェブサイトにおいて情報漏洩等の被害が発生しました。筆者は2014年4月（およそ3年前）に「例えば、Strutsを避ける」という記事を書きましたが、今読み返してみると「やや調査不足の状態で書いてしまったな」と感じる点もあります。今回、良いタイミングなのでもう一度Struts2のセキュリティについてざっとまとめてみたいと思います。 なぜJavaなのにリモートからの任意のコード実行(いわゆるRCE)が可能なのか Struts2はJavaアプリケーションであり、Java製のアプリケーションサーバ上で動作します。Javaはいわゆるコンパイル型の言語であるため、通常はランタイムにおいて任意のコードを実行することはできず、RCEは難しいはずです。 JavaのウェブアプリケーションでRCEが成

Eight days after developers patched a critical flaw in the Apache Struts Web application framework, there has been no let-up in the volley of attacks attempting to exploit the vulnerability, which affects a disproportionate number of high-impact websites, a security researcher said Tuesday. As of Tuesday morning, 503 unique IP addresses were attempting to exploit the code execution bug, Jaime Blas

The best of CES 2025Presenting our 12 finalists, plus the winner of our best in show award.

標題の件、ちょっとメモにしておく。 Apacheの設定変更を行った場合、それを反映するには再起動する必要があるのだが、 私はいつもrestart を使っていた。 # /etc/init.d/httpd restart restartは、クライアントと接続中のhttpdプロセスを停止してしまうため、 クライアントとの通信が強制的に切断してしまう。 瞬時とはいえ、クライアントにご迷惑をお掛けにしてしまう。それを解決するのが「graceful」 # /etc/init.d/httpd graceful gracefulはすべてのクライアントとの通信が終了するまで再起動しません。 Webサーバなどを公開していて、httpdサービスの停止が出来ない場合は かなり効果的といえる。 ただ、SSL証明書の変更やモジュール追加の場合を行った場合、「graceful」だと変更が正しく反映されないというケースも

一昨年が15回のリリース、昨年は上記のとおり17回のリリースと、リリースの回数が増えています。10月31日に2バージョンを同時リリースしているのは偶然ではなく、意図的に行われたものです。 ほかにも特徴的なことが2つありました。その1つが4.2.0と4.2.1のリリース間隔が非常に短いことです。4.2.1は中間（intermediate）リリースで、予定にはありませんでした。不具合修正が進んだことから4.2.1をリリースし、4.2.1としてリリース予定だったのを4.2.2としてリリースするに至りました。これ以降、バグハンティングセッションと称してX.Y.0のリリース前のテストを広く呼びかけるようになりました[1]⁠。このようなことが再び起きないように、可能な限り事前に不具合を発見するよう配慮していることが窺えます。 もう1つ特徴的なのは4.2.8のリリースです。X.Y.8がリリースされたのは

SSL 3.0 の脆弱性 （POODLE） 対策で Web サーバの SSL 3.0 を無効にした件とブラウザ側の対処まとめ SSL 3.0 に存在する脆弱性、通称 「POODLE」 に関連して、自分が管理している Web サーバ （Apache） の SSL 3.0 を無効にした際の設定方法と、各ブラウザごとに SSL 3.0 を無効にする方法などをまとめています。 2014年 10月 14日 に発表された「Secure Sockets Layer（SSL）」のバージョン 3.0 （SSL 3.0） に存在する脆弱性 （CVE-2014-3566）、通称 「POODLE （Padding Oracle On Downgraded Legacy Encryption）」 ですが、これに関連して、自分で管理している Web サーバ （Apache） の SSL 3.0 を無効にしました。 そ

最近、Apacheのアクセスログに、以下のような長いPOSTをされた形跡が残っている。結構な広範囲に来ているので、皆さんも見たことあるんじゃないでしょうか。 114.141.196.28 - - [01/Aug/2013:11:01:22 +0900] "POST /%70%68%70%70%61%74%68/%70%68%70?%2D%64+%61%6C%6C%6F%77%5F%75%72%6C%5F%69%6E%63%6C%75%64%65%3D%6F%6E+%2D%64+%73%61%66%65%5F%6D%6F%64%65%3D%6F%66%66+%2D%64+%73%75%68%6F%73%69%6E%2E%73%69%6D%75%6C%61%74%69%6F%6E%3D%6F%6E+%2D%64+%64%69%73%61%62%6C%65%5F%66%75%6E%63%74%6

TOPICS 発行年月日 2013年10月 PRINT LENGTH 244 ISBN 978-4-87311-645-7 原書 Mastering Nginx FORMAT PDF EPUB NginxはC10K問題を解決するために開発された、高速かつ高性能なオープンソースのWebサーバです。Apacheに代わるWebサーバとして高負荷サイトを中心に急速にシェアを伸ばしてきています。Nginxの設定情報はインターネットを探せばある程度見つかりますが、断片的な情報が多く、全体像を把握することは簡単ではありません。本書はNginxの全体像を機能ごとに解説した徹底ガイドです。中級以上のシステムアドミニストレータおよびシステムエンジニアを対象に、豊富な設定例、ベストプラクティス、ディレクティブのリファレンス、トラブルシューティングを示しながらNginxの細部に迫ります。Nginxのさまざまな機能

既に報道されているように、ロリポップ！レンタルサーバーに対する改ざん攻撃により、被害を受けたユーザー数は8428件にのぼるということです。ここまで影響が大きくなった原因は、報道によると、(1)「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされた、(2)パーミッション設定の不備を悪用されて被害が拡大した、ということのようです。 29日夜の時点では、攻撃者の改ざん手法について「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされて「wp-config.phpの」の設定情報が抜き出されたと説明していたが、30日午後7時過ぎの説明で、この脆弱性が侵入経路となって同社のパーミッション設定の不備を悪用されたことが原因だったことを明らかにした。 「ロリポップ」のWordPressサイト改ざん被害、原因はパーミッション設定不備

オープンソースのWebサーバとしてコンパクトで高性能なソフトウェアとして知られるnginx（エンジンエックス）の開発元Nginx.incは、ミッションクリティカルな用途に対応した商用版の「NGINX Plus」をリリースしました。 The High Performance Reverse Proxy, Load Balancer, Edge Cache, Origin Server | NGINX As business requirements continue to evolve rapidly, such as the shift to mobile and the explosion of dynamic content on the Web, CIO’s are continuously looking for opportunities to increase applicat

世界中を探しても見つけることはできません。――環境保全団体「WWFジャパン」のサイトで表示されるエラーページが「切ない」と、はてなブックマークで話題を集めています。 ▽ 404エラー｜WWFジャパン 注目されているのは、一時的にアクセスできない場合や指定のWebページが存在しない場合に表示される、WWFジャパンのエラーページです。絶滅した動物の名前と絶滅した年、イラストとともに、「世界中を探しても見つけることはできません」というメッセージが表示されます。 筆者が確認したところ、1918年に絶滅したカロライナインコ、1840年代または1850年代に絶滅したオオウミガラス、1914年に絶滅したリョコウバト、1681年に絶滅したドードーの4種類がエラーページに登場しました。 絶滅した動物を表示する仕様に、はてなブックマークのコメント欄には「これはせつない」「今まで見た中で一番胸が痛い Not F

7. エンジニアSさん (c) 2013 Masashi Shinbara @shin1x1 1162 <VirtualHost *:80> 1163 ServerName candycane.local 1164 DocumentRoot "/Users/shin/sandbox/demo/candycane/app/webroot" 1165 </VirtualHost> 1166 1167 <VirtualHost *:80> 1168 ServerName demo.local 1169 DocumentRoot "/Users/shin/sandbox/demo/20130601_phpcon" 1170 php_value vld.active 1 1171 </VirtualHost> 1172 1173 <VirtualHost *:80> 1174 ServerName

サーバを運用していらっしゃる方であれば、サービスの停止は死に値します。 大事な事なのでもう一度言います。 サーバを運用していらっしゃる方であれば、サービスの停止は死に値します。 サーバ管理者は皆、突然の死に備えるべきです。 そんな過酷な場面に立ち向かうサーバ管理者の皆さんの苦労を少しでも軽減する為に、apache モジュールを書きました。 mattn/mod_suddendeath - GitHub 突然の死! https://github.com/mattn/mod_suddendeath まずコンパイルしてインストールします。 apxs -ci mod_suddendeath.c -lhttpd -lapr-1 そして apache を再起動します。 サービスが動作しているディレクトリの .htaccess に以下を書き込みます。 SetHandler suddendeath すると

次期HTTPの有力候補に挙げられたSPDY Googleが提唱している「SPDY（スピーディ）」がにわかに注目を集めている。 SPDYは高速なWebコンテンツ転送を実現するための新しいネットワークプロトコルである。Googleは以前からWebの高速化に極めて熱心に取り組んできた。そのために開発されたプロダクトは、Webサーバ、Webブラウザ、JavaScriptエンジン、各種開発ツールなど、Web技術のあらゆる側面をカバーしている。SPDYもその取り組みの一環であり、ネットワークプロトコルというWebの基幹部分から高速化へのアプローチを進めようというものだ。 SPDYは2010年に発表され、2011年前半にはブラウザのChromeに実装され、一般のユーザーでも利用できるようになった。このとき、Googleの一部のサービスではChromeとの通信にSPDYを利用していることが明かされている。

最近話題のnginxについに手を出したのですが、「nginx入門」みたいなブログ記事も一切見当たらず、あるのは英語のドキュメント記事くらい…という状況だったので、自分なりに訳して理解した部分を忘れないよう覚書。 今node.jsもちょこちょこやっているのですが、これまた物凄い勢いで開発が進む上に、その情報のほとんどは英語なわけでやはりもうホントに英語が読めないとどうしようもないんだなぁと実感しているわけです。まぁstackoverflowとか見ててもそこまで難しい文法使ってるわけでもないので、英語を見た瞬間に拒否反応起こしたりしなきゃなんとかなりそうですが。 「毎度毎度ブログ長すぎ死ね」とはてブのコメントで話題の僕のブログ、今日も長いです。 nginxってそもそもどう読むんだよ 「エンジンエックス」と読みます。正直すごくかっこいいです。apacheとかtomcatとかnginxとか、サーバ