2017-03-12

Struts2の脆弱性(S2-045, CVE-2017-5638)

Security

だいぶまとめられているので私が書くことはあまりなさそうな。

piyokangoさんのまとめ

Struts2の脆弱性 CVE-2017-5638 (S2-045)についてまとめてみた - piyolog

こちらに解析されている方がいて詳しい

Struts2のリモートコード実行可能脆弱性(CVE-2017-5638)を分析した - R42日記

ただ、

見ての通り、LocalizedTextUtilはもう使われていないのでセーフです。

はちょっとちがくて、修正後のコードのtextProviderの中でLocalizedTextUtilは呼ばれているけど、デフォルトのメッセージ「struts.messages.error.uploading」を取得していて、外部からの入力を利用していないのでセーフになる。

あと、WAFで防ぐ場合はContent-Typeヘッダに%{...}や${...}を含むものを弾けば良いかな。この部分がOGNL式として解釈されるので。PoCは%{...}のものが多いけども、コード的には両方必要。

(追記) Content-Typeについてだけ書いたが、S2-046の件もあるので、Content-DispositionやContent-Lengthをチェックする必要もある

ドキュメントには${...}しか書いていないようだけども。

LocalizedTextUtil (Struts 2 Core 2.5-BETA1 API)

If a message is found, it will also be interpolated. Anything within ${...} will be treated as an OGNL expression and evaluated as such.

2017-01-01

2016年面白かった漫画

Comic

年明けちゃったけど

軍靴のバルツァー 9 (BUNCH COMICS)

作者: 中島三千恒
出版社/メーカー: 新潮社
発売日: 2016/11/09
メディア: コミック
この商品を含むブログ (5件) を見る

主人公が自分の権限と利害関係の中でどのような選択をしていくかという部分が面白い。

ワールドトリガー 17 (ジャンプコミックス)

作者: 葦原大介
出版社/メーカー: 集英社
発売日: 2016/12/02
メディア: コミック
この商品を含むブログ (7件) を見る

メガネ君が使えるようになってきて、頭脳戦が面白くなってきたのだけども、休載になってしまうとはなあ

エリア51 13 (BUNCH COMICS)

作者: 久正人
出版社/メーカー: 新潮社
発売日: 2016/09/09
メディア: コミック
この商品を含むブログ (3件) を見る

この神様殺しちゃうのかという流れにちょっと驚いた

ヒナまつり 11<ヒナまつり> (ビームコミックス（ハルタ）)

作者: 大武政夫
出版社/メーカー: KADOKAWA / エンターブレイン
発売日: 2016/09/15
メディア: Kindle版
この商品を含むブログ (2件) を見る

安定して面白い。ちょっとマンネリ感はあるけど。

ナナマルサンバツ (12) (カドカワコミックス・エース)

作者: 杉基イクラ
出版社/メーカー: KADOKAWA/角川書店
発売日: 2016/08/02
メディア: コミック
この商品を含むブログ (4件) を見る

クイ研熱いし、単純に知識だけではなく、運だとか駆け引きもあって面白い

実は私は（２０） (少年チャンピオン・コミックス)

作者: 増田英二
出版社/メーカー: 秋田書店
発売日: 2016/12/08
メディア: Kindle版
この商品を含むブログを見る

委員長がいなくなったのは残念だが、そろそろ終了するのかな。

氷菓(10)<氷菓> (角川コミックス・エース)

作者: タスクオーナ
出版社/メーカー: KADOKAWA / 角川書店
発売日: 2016/07/26
メディア: Kindle版
この商品を含むブログ (2件) を見る

原作長編ではこのエピソードが一番すきかな。
里志と摩耶花が主人公な感じで。

ダンジョン飯 3巻 (ビームコミックス)

作者: 九井諒子
出版社/メーカー: KADOKAWA/エンターブレイン
発売日: 2016/08/12
メディア: コミック
この商品を含むブログ (25件) を見る

メイドインアビス（４） (バンブーコミックス)

作者: つくしあきひと
出版社/メーカー: 竹書房
発売日: 2016/04/30
メディア: Kindle版
この商品を含むブログ (2件) を見る

えぐい。だが面白い。

ゴールデンカムイ 8 (ヤングジャンプコミックスDIGITAL)

作者: 野田サトル
出版社/メーカー: 集英社
発売日: 2016/09/16
メディア: Kindle版
この商品を含むブログを見る

あさひなぐ（２０） (ビッグコミックス)

作者: こざき亜衣
出版社/メーカー: 小学館
発売日: 2016/09/30
メディア: Kindle版
この商品を含むブログ (1件) を見る

1年生もキャラが立ってきて、薙刀漫画というよりかは部活漫画という面も強くなってきて良い。

連載終了

まおゆう魔王勇者　「この我のものとなれ、勇者よ」「断る！」(18)<まおゆう魔王勇者　「この我のものとなれ、勇者よ」「断る！」> (角川コミックス・エース)

作者: 石田あきら
出版社/メーカー: KADOKAWA / 角川書店
発売日: 2016/08/26
メディア: Kindle版
この商品を含むブログを見る

並行して連載されたものが多かったけども、最後までしっかりと描ききったな。
他のはちょっと尻切れになってしまっているので。ブームが過ぎちゃっているので仕方ないが。

スピリットサークル (6) (ヤングキングコミックス)

作者: 水上悟志
出版社/メーカー: 少年画報社
発売日: 2016/06/10
メディア: Kindle版
この商品を含むブログ (2件) を見る

戦国妖狐　17 (コミックブレイド)

作者: 水上悟志
出版社/メーカー: マッグガーデン
発売日: 2016/06/17
メディア: Kindle版
この商品を含むブログ (1件) を見る

水上悟志作品が続けて終わった。
スピリットサークルの未来編が好きだったな

侵略!イカ娘 22 (少年チャンピオン・コミックス)

作者: 安部真弘
出版社/メーカー: 秋田書店
発売日: 2016/05/06
メディア: コミック
この商品を含むブログ (5件) を見る

この表紙はずるい

僕だけがいない街(8)<僕だけがいない街> (角川コミックス・エース)

作者: 三部けい
出版社/メーカー: KADOKAWA / 角川書店
発売日: 2016/04/27
メディア: Kindle版
この商品を含むブログ (103件) を見る

あの終わり方に納得がいかない人もいるっぽいけど、私は結構好きだな。
終わったと思ったらamazonに9巻がある。

獣の奏者(11)<完> (シリウスKC)

作者: 武本糸会,上橋菜穂子
出版社/メーカー: 講談社
発売日: 2016/04/08
メディア: コミック
この商品を含むブログを見る

絵柄が非常に合っていた。

決してマネしないでください。(3)? (モーニングKC) (モーニング KC)

作者: 蛇蔵
出版社/メーカー: 講談社
発売日: 2016/02/23
メディア: コミック
この商品を含むブログ (2件) を見る

新連載

悪魔のメムメムちゃん 1 (ジャンプコミックスDIGITAL)

作者: 四谷啓太郎
出版社/メーカー: 集英社
発売日: 2016/11/04
メディア: Kindle版
この商品を含むブログ (1件) を見る

2016-12-11

ServletのWEB-INF/libのjarが読み込まれる順番

Java

同じライブラリのjarがバージョン別でWEB-INFに置かれていた場合、どっちが読まれるのかなという話。

JSR-000315 Java Servlet 3.0 Final Release

のPDFの「4.6. Resources」のところ、

The order in which the JAR files in the WEB-INF/lib directory are scanned is undefined.

とあるので、読み込まれる順序は未定義のようだ。tomcat8.5辺りの実装を見てもjava.io.File.listを使っているようなので、これまた順序は未定義。

2016-09-20

紙のコミックと〜の記事

amazonに現在は同等の機能があるし、APIは制限があるのでイマイチ正確ではないので、やめます。

2016-09-20

LWP::UserAgentでHTTPS proxy越し通信(Cent OS 6)

Perl

LWP::UserAgentでHTTPSプロキシ越しに通信する - Qiita

の

## ** See https://metacpan.org/module/Net::HTTPS
## Force use of Net::SSL instead of IO::Socket::SSL
$ENV{PERL_NET_HTTPS_SSL_SOCKET_CLASS} = 'Net::SSL';

の部分を実施せずにうまくいっていたのだが、最近はダメっぽい。

昔のコード(perl-libwww-perl-5.833-2.el6.x86_64のNet/HTTPS.pm)だと以下のようにNet::SSL(Crypt::SSLeayに含まれる)があるとIO::Socket::SSLがあってもNet::SSLを利用していたのに

# Figure out which SSL implementation to use
if ($SSL_SOCKET_CLASS) {
    # somebody already set it
}
elsif ($Net::SSL::VERSION) {
    $SSL_SOCKET_CLASS = "Net::SSL";
}
elsif ($IO::Socket::SSL::VERSION) {
    $SSL_SOCKET_CLASS = "IO::Socket::SSL"; # it was already loaded
}
else {
   ...
}

今のコード(perl-libwww-perl-5.833-3.el6.x86_64のNet/HTTPS.pm)だと以下のようにIO::Socket::SSLが存在すると、Net::SSLが存在していても、IO::Socket::SSLを使ってしまうようだ。

if ($SSL_SOCKET_CLASS) {
    # somebody already set it
}
elsif ($SSL_SOCKET_CLASS = $ENV{PERL_NET_HTTPS_SSL_SOCKET_CLASS}) {
    unless ($SSL_SOCKET_CLASS =~ /^(IO::Socket::SSL|Net::SSL)\z/) {
        die "Bad socket class [$SSL_SOCKET_CLASS]";
    }   
    eval "require $SSL_SOCKET_CLASS";
    die $@ if $@; 
}
elsif ($IO::Socket::SSL::VERSION) {
    $SSL_SOCKET_CLASS = "IO::Socket::SSL"; # it was already loaded
}
elsif ($Net::SSL::VERSION) {
    $SSL_SOCKET_CLASS = "Net::SSL";
}
else {
    ...
}