こんどはトムキャット、システム担当は連日大変だな
PHP の脆弱性を鼻で笑ってたやつはいねぇがぁ〜。にしても、Tomcat の脆弱性で HTTP/2 がらみが多い気がする。故に、Tomcat は Apache httpd なり nginx なりの後ろに隠したくなる。
こんなの割と毎月やってるけど、アップデートを業務フローに取り込むなら、やっぱスケジュールされたリリースの方が保守する人は楽だよな。いつまで不定期にやるんだろう
と、トム猫は流石に本番環境では使われて無いはずだし…？だ、だよね…？
ていうか、この猫は tomcat を組み合わせてつくったの？なに？このポーズと顔
PHPじゃないから大丈夫と思ったかとでも言わんばかりのタイミング
さすがにフロントには露出してないとは思いたいが、Tomcatサーバに対しての通信を無制限にしてるとかないよな？
おかしい、、、もっと騒がれてもいいはずなのに、、、、
どこもかしこもメンテだらけ(TOUGH BOY)
おお…
PHPで大騒ぎしてたらApache系でも！
ほーん。Tomcat使ってるところはPHPに比べて内部を知らない人が使ってるケースが少ないイメージがあるから大騒ぎしていないのだろうか？
トムキャットは草
今じゃねぇw
何が始まるんです？？？
おまえもかよ!
v7だからヨシ！
もう止まらんよ。 流れ始めたエネルギーと同じだ
phpで閉じてる会社がそのままtomcatでメンテ延長する可能性すらある
気が休まらんな。しかもTomcatはEoL超えしてるのをちょくちょく見かけるのだが…
この流れなら「ウチはSpring Boot だから」と高を括れる話ではなくなると思う。
大変は大変だけど、流石にunsupported versionなtomcatで実運用してるとこは少数だと思う（phpが大事になってるのは「突然unsupported versionからのメジャーアップグレードを強いられる」なとこが割と有るからという印象
ヤバめな脆弱性の発見自体が増えてるのか、脆弱性への注目度が上がってるだけなのか、、、
マイナー言語とかフレームワークだと大騒ぎしてくれないので、逆にメジャーを使うのがセキュリティ的定石に
ふられ気分でRock'n' Roll（それはTOM★CAT）
影響深刻度的にはこっちが上よね。バージョンアップが出ている事だけが救い
「「Apache Tomcat」に全8件の脆弱性が存在する」「10月12日にリリースされた「Apache Tomcat」v9.0.123 / v10.1.61 / v11.0.27にアップデートすることで対処可能」
phpの件と同列に語っている人がいるが、あれは修正パッチ当たる前に任意コード実行可能な脆弱性の内容が流出したからであってヤバさの度合いが全然違うぞ。
脆弱性は困るにゃ！ボクの喉を撫でて直すから、早くアップデートしてほしいにゃ。
「今週は寝かせないぞ♡」
10/12に出てたの？PHPの件もあったしv9はそろそろ切り替えた方が良さそうかなぁ
AIのおかげでパッチ配布までのスピードも早いが、ユーザーがそれを適用するスピードは…プラットフォームと担当者依存…。
こっちも来たか
Tomcat商用で使ってるところ、あると思うなぁ。しかもv9系統のままとか…/中身読んだらかなり限定的な用途で使ってないと関係なさそうな脆弱性だった
Tomcatのムキャッの部分
ゥゥゥウェルカム･トゥ･ディス･クレイジータイム！
“なお、「Apache Tomcat」v9.0系統は2027年3月31日でサポート終了となるので注意してほしい。”←これは9.1.xにバージョン番号が上がるわけで、変更点は小さくサポート終了とは性質が違う。
MavenやGradleで依存関係をちゃんと管理していれば大変でもないけど、スタンドアローンの方だとちょっと面倒か
「いずれの脆弱性も10月12日にリリースされた「Apache Tomcat」v9.0.123 / v10.1.61 / v11.0.27にアップデートすることで対処可能」
！？
今どき8080でサイト公開してるやつはおらんやろ/httpsだと8443か
Spring Bootなどに組み込まれた tomcat-embed-core も対象になるということで、一瞬ドキッとしました
なんで一気にきてるの？
動物病院に行きましょう。（透明なカゴに入れられて暴れているTomcat）
弊社はJavaがメインだった会社だけどTomcatは1つも使ってないわ。
コレもAIの恩恵？そうならどのブルシットジョブから無くなるのだろうか
PHPにしろ中小ベンダーが開発した業務システ厶はまともにメンテナンスされていない（クライアントも金を払わない）から潰れる会社が続出しそう。
割とアプライアンスとかに組み込まれている印象ある。
これはパッチでてるし、tomcatで外部公開してTLS終端とHTTP/2とか言う謎の条件は中々無い
なんなのほんと
脆弱性としては深刻だけど実際に影響受けるユーザーはそんなに多くなさそう。TomcatをTLS終端にしてHTTP/2使う構成にしてる人なんてどんだけいるの？っていう
ローリングアップデートを1日2回全サービスに仕込んでいるが割とユーザは許してくれる。あれ、なんか遅いな、というタイミングはあるはず。OSリブートだけは夜中にまとめてバラバラ実施。気を使うのはそこくらい。
ぎゃふｎ
大体はspringbootで作られたwarをコンテナにしてデプロイしてるだろうから その場合はjettyだから大丈夫っぽいな
“Apache Tomcat」v9.0系統は2027年3月31日でサポート終了”/Tomcat開発側がJava開発者の対応の遅さに折れて9.1を出すことになったんだよな、脅威の13年間無償サポート
Tomcat の web サーバー機能って一緒にする必要ないと思うんだけどな。開発時は便利なんだけど
手作りインターネットの楽しい思い出は、その全てが技術的負債による災厄として帰ってくるのだ。。。おもんないな、こんなインターネッツ。
おいふざけんな、TOM★CATネタが全然ねえじゃないか！！！ こちとら(?)1984年デビューだぞ！！！
今度はドラネコかよ
TOM★CATがTom-H@ckされてしまう。
やーめーてー
脅威度スコアの引用元と根拠を隠して、不安を煽る見出しでPVを稼ごうという悪意を感じます。実際は成立条件が限定的なので、自身の環境と照らし合わせて冷静な判断を心がけましょう。
PHPに比べたら露出してるケースが少なめだとは思うから、まぁ。。
PHPだけじゃない “深刻度の評価はASFとCVSS:3.1または4.0で異なっているが、CVSS:3.1または4.0で最大スコアが9.1（CRITICAL）の脆弱性が含まれる”
tomcatもphp同様に魔窟じゃないか。
やっぱAIに、ソースも何もかも全部見て良いのであらゆる角度から攻撃して、てやったら色々見つかっちゃうのかな。
「Apache Tomcat」に最大深刻度“CRITICAL”の脆弱性 ～v9 / v10 / v11系統に修正版／
こんどはトムキャット、システム担当は連日大変だな
PHP の脆弱性を鼻で笑ってたやつはいねぇがぁ〜。にしても、Tomcat の脆弱性で HTTP/2 がらみが多い気がする。故に、Tomcat は Apache httpd なり nginx なりの後ろに隠したくなる。
こんなの割と毎月やってるけど、アップデートを業務フローに取り込むなら、やっぱスケジュールされたリリースの方が保守する人は楽だよな。いつまで不定期にやるんだろう
と、トム猫は流石に本番環境では使われて無いはずだし…？だ、だよね…？
ていうか、この猫は tomcat を組み合わせてつくったの？なに？このポーズと顔
PHPじゃないから大丈夫と思ったかとでも言わんばかりのタイミング
さすがにフロントには露出してないとは思いたいが、Tomcatサーバに対しての通信を無制限にしてるとかないよな？
おかしい、、、もっと騒がれてもいいはずなのに、、、、
どこもかしこもメンテだらけ(TOUGH BOY)
おお…
PHPで大騒ぎしてたらApache系でも！
ほーん。Tomcat使ってるところはPHPに比べて内部を知らない人が使ってるケースが少ないイメージがあるから大騒ぎしていないのだろうか？
トムキャットは草
今じゃねぇw
何が始まるんです？？？
おまえもかよ!
v7だからヨシ！
もう止まらんよ。 流れ始めたエネルギーと同じだ
phpで閉じてる会社がそのままtomcatでメンテ延長する可能性すらある
気が休まらんな。しかもTomcatはEoL超えしてるのをちょくちょく見かけるのだが…
この流れなら「ウチはSpring Boot だから」と高を括れる話ではなくなると思う。
大変は大変だけど、流石にunsupported versionなtomcatで実運用してるとこは少数だと思う（phpが大事になってるのは「突然unsupported versionからのメジャーアップグレードを強いられる」なとこが割と有るからという印象
ヤバめな脆弱性の発見自体が増えてるのか、脆弱性への注目度が上がってるだけなのか、、、
マイナー言語とかフレームワークだと大騒ぎしてくれないので、逆にメジャーを使うのがセキュリティ的定石に
ふられ気分でRock'n' Roll（それはTOM★CAT）
影響深刻度的にはこっちが上よね。バージョンアップが出ている事だけが救い
「「Apache Tomcat」に全8件の脆弱性が存在する」「10月12日にリリースされた「Apache Tomcat」v9.0.123 / v10.1.61 / v11.0.27にアップデートすることで対処可能」
phpの件と同列に語っている人がいるが、あれは修正パッチ当たる前に任意コード実行可能な脆弱性の内容が流出したからであってヤバさの度合いが全然違うぞ。
脆弱性は困るにゃ！ボクの喉を撫でて直すから、早くアップデートしてほしいにゃ。
「今週は寝かせないぞ♡」
10/12に出てたの？PHPの件もあったしv9はそろそろ切り替えた方が良さそうかなぁ
AIのおかげでパッチ配布までのスピードも早いが、ユーザーがそれを適用するスピードは…プラットフォームと担当者依存…。
こっちも来たか
Tomcat商用で使ってるところ、あると思うなぁ。しかもv9系統のままとか…/中身読んだらかなり限定的な用途で使ってないと関係なさそうな脆弱性だった
Tomcatのムキャッの部分
ゥゥゥウェルカム･トゥ･ディス･クレイジータイム！
“なお、「Apache Tomcat」v9.0系統は2027年3月31日でサポート終了となるので注意してほしい。”←これは9.1.xにバージョン番号が上がるわけで、変更点は小さくサポート終了とは性質が違う。
MavenやGradleで依存関係をちゃんと管理していれば大変でもないけど、スタンドアローンの方だとちょっと面倒か
「いずれの脆弱性も10月12日にリリースされた「Apache Tomcat」v9.0.123 / v10.1.61 / v11.0.27にアップデートすることで対処可能」
！？
今どき8080でサイト公開してるやつはおらんやろ/httpsだと8443か
Spring Bootなどに組み込まれた tomcat-embed-core も対象になるということで、一瞬ドキッとしました
なんで一気にきてるの？
動物病院に行きましょう。（透明なカゴに入れられて暴れているTomcat）
弊社はJavaがメインだった会社だけどTomcatは1つも使ってないわ。
コレもAIの恩恵？そうならどのブルシットジョブから無くなるのだろうか
PHPにしろ中小ベンダーが開発した業務システ厶はまともにメンテナンスされていない（クライアントも金を払わない）から潰れる会社が続出しそう。
割とアプライアンスとかに組み込まれている印象ある。
これはパッチでてるし、tomcatで外部公開してTLS終端とHTTP/2とか言う謎の条件は中々無い
なんなのほんと
脆弱性としては深刻だけど実際に影響受けるユーザーはそんなに多くなさそう。TomcatをTLS終端にしてHTTP/2使う構成にしてる人なんてどんだけいるの？っていう
ローリングアップデートを1日2回全サービスに仕込んでいるが割とユーザは許してくれる。あれ、なんか遅いな、というタイミングはあるはず。OSリブートだけは夜中にまとめてバラバラ実施。気を使うのはそこくらい。
ぎゃふｎ
大体はspringbootで作られたwarをコンテナにしてデプロイしてるだろうから その場合はjettyだから大丈夫っぽいな
“Apache Tomcat」v9.0系統は2027年3月31日でサポート終了”/Tomcat開発側がJava開発者の対応の遅さに折れて9.1を出すことになったんだよな、脅威の13年間無償サポート
Tomcat の web サーバー機能って一緒にする必要ないと思うんだけどな。開発時は便利なんだけど
手作りインターネットの楽しい思い出は、その全てが技術的負債による災厄として帰ってくるのだ。。。おもんないな、こんなインターネッツ。
おいふざけんな、TOM★CATネタが全然ねえじゃないか！！！ こちとら(?)1984年デビューだぞ！！！
今度はドラネコかよ
TOM★CATがTom-H@ckされてしまう。
やーめーてー
脅威度スコアの引用元と根拠を隠して、不安を煽る見出しでPVを稼ごうという悪意を感じます。実際は成立条件が限定的なので、自身の環境と照らし合わせて冷静な判断を心がけましょう。
PHPに比べたら露出してるケースが少なめだとは思うから、まぁ。。
PHPだけじゃない “深刻度の評価はASFとCVSS:3.1または4.0で異なっているが、CVSS:3.1または4.0で最大スコアが9.1（CRITICAL）の脆弱性が含まれる”
tomcatもphp同様に魔窟じゃないか。
やっぱAIに、ソースも何もかも全部見て良いのであらゆる角度から攻撃して、てやったら色々見つかっちゃうのかな。