http://www.vuxml.org/freebsd/CVE-2006-0024.html
linux-flashpluginにリモートから任意のコードを実行できる脆弱性が発見されました。悪意のあるSWFファイルをロードした場合、この脆弱性によって攻撃を受ける危険性があるとのことです。対象となるのは7.0r62以前のバージョンです。portsはフリーズの影響で現行バージョンが7.0r61ですが、今さっきフリーズが解けたので近いうちにアップされると思います。
関連記事：ITmedia エンタープライズ：Flash Playerなどに深刻な脆弱性、修正版へのアップグレードを
http://java.sun.com/developer/technicalArticles/Interviews/bloch2006_qa.html
Java Puzzulersに関するJoshua Blochへのインタビュー記事が掲載されています。せっかくなので質問の内容だけずらっと訳してみました。かなり適当なのであまり信用しないでください。どんな内容が書かれてるかの目安くらいにはなるかと。kyukaさんがそのうち日本語で紹介してくれるみたいですが、とても忙しそうなので。
http://lists.gnupg.org/pipermail/gnupg-announce/2006q1/000216.html
GnuPGに脆弱性が報告されました。この問題によって、Dedetached signature形式"ではない"署名をPGP署名が付加されたデータに対して攻撃者が任意のデータを埋め込むことができるとのことです。対象は1.4.2.1以前のバージョンで、1.4.2.2で修正されています。この問題はDedetached signature形式の署名には影響しません。
http://www.vuxml.org/freebsd/104beb63-af4d-11da-8414-0013d4a4a40e.html
mplayerのdemuxer.hにヒープオーバーフローの脆弱性が報告されています。これによって、悪意のあるASFファイルを演奏することで任意のコードを実行される危険性があるとのことです。対象は0.99.7_10以前のバージョンです。
これは面白そうだなぁ。無線センサーネットワークを開発するためのプラットフォームだそうです。評価キットには3基のSun SPOT(デモセンサー付きのスタンドアロン2基と、開発マシンと接続するためのベースステーション1基)、それから開発用ソフトウェアが含まれるとのことです。予定価格は499ドルで、5月頃に提供されるらしいです。ということはJavaOneでまた何か発表かデモがあるかな。
http://www.digitalmars.com/d/changelog.html#new0149
DMD 0.149がリリースされました。主な変更点は以下の通り。
http://jcp.org/en/jsr/detail?id=292
動的な型を持つ言語をサポートするためのJVM仕様がJSR 292として提案されました。簡単に言うと、現在のJVMの仕様では4種類のinvoke命令(invokeinterface, invokespecial, invokestatic, invokevirtual)があるが、これに新しくinvokedynamicという命令を追加して動的な型付けに対応しようというものです。invokedynamic命令についてはJSR 292のスペックリードであるGilad Bracha氏のブログで紹介されています。
http://blogs.sun.com/roller/page/gbracha?entry=invokedynamic
Basically, it will be a lot like invokevirtual (if you don’t know what that is, either open a JVM spec and find out, or stop reading). The big difference is that the verifier won’t insist that the type of the target of the method invocation (the receiver, in Smalltalk speak) be known to support the method being invoked, or that the types of the arguments be known to match the signature of that method. Instead, these checks will be done dynamically.
要するに型チェックをコンパイル時や検証時には行わずに、実行時に行うようなinvokevirtualということのようです。invokedynamicについてはJavaOne TokyoのセッションでもDolphinで追加される"かもしれない"新機能として紹介されていていました。例えば
newSize(c) {
return c.size() * c.growthFactor();
}
のようなコードをコンパイルできるようにするためのアイデアの一つとして取り上げられました。なのでJSR 292はDolphinかそれ以降のJavaで標準仕様となる可能性もあり、要チェックな存在です。
追記：
Gilad Bracha氏のブログで、JAOOでの発表に使われたスライドが公開されていますね(2005/10/7のエントリ)。
http://blogs.sun.com/roller/resources/gbracha/JAOO2005.pdf
もう一つ、同じくLance Andersenのブログより、JDBC 4.0の新機能であるラッパー・インタフェースの紹介です。
http://weblogs.java.net/blog/lancea/archive/2006/02/jdbc_40_wrapper.html
JDBC 4.0ではjava.sql.Connectionやjava.sql.StatementなどのクラスがWrapperインタフェースをimplementsするようになっています。WrapperインタフェースにはisWrapperFor()とunwrap()というメソッドが定義されており、これらを使用してJDBCのクラスによるラップを除去してベンダ固有のクラスに戻すことで、ベンダの提供する標準でないメソッドも利用できるようになるという話です。
Statement stat = con.createStatement();
Class clazz = Class.forName("oracle.jdbc.OracleStatement");
OracleStatement os;
if(stat.isWrapperFor(clazz)) {
os = stat.unwrap(clazz);
os.defineColumnType(1, Types.NUMBER);
}
せっかくなので続けてJDBC 4.0情報で、Lance AndersenのブログよりSQLExceptionの機能強化に関する解説です。
http://weblogs.java.net/blog/lancea/archive/2006/02/jdbc_40_sqlexce.html
getCause()を連続して使用することで例外発生元を連鎖的に追跡できるようになる。
Iteratable<Throwable>をImplementsするようになったことで拡張for文を使用して簡潔に例外を処理できるようになる。
catch(SQLException ex) {
for(Throwable e : ex) {
System.out.println("Error encountered: " + e);
}
}
新しいカテゴリとしてSQLTransientExceptionとSQLNonTransientExceptionの2つが追加される。SQLTransientExceptionは同じ操作の再試行が成功する可能性のある例外を、SQLNonTransientExceptionは原因が解決しない限り同じ操作は失敗する例外を表し、それぞれいくつかのサブクラスが用意される。
http://www.vuxml.org/freebsd/CVE-2006-0705.html
SFTPサーバに書式文字列における脆弱性があり、これによりパーミッションによる制限を超えてコマンドを実行することができるとのことです。また、他ユーザに成りすまして実行されるファイルを作成することもできるそうです。対象バージョンは3.2.9.1_4以前で、3.2.9.1_5で修正されています。
http://www.vuxml.org/freebsd/CVE-2006-0300.html
gtarのPAX拡張ヘッダの境界チェックにバグがあり、バッファオーバーフローを引き起こす危険性があるとのことです。対象となるバージョンは1.15.1以前で、この問題を修正した1.15.1_2がリリースされています。
mustangのbuild74がリリースされました。以下はそのNew featuresです。
https://mustang.dev.java.net/files/documents/2817/30112/mustang-b74.html
Swingのドラッグ＆ドロップ機能で、javax.swing.TransferHandlerクラスにLINK定数が追加された。
javax.swing.TransferHandler.TransferInfoクラスがTransferHandler.TransferSupportに改名され、ソースアクションを取得するgetSourceDropActions()やユーザアクションを取得するgetUserDropAction()などが追加された。それに関連していくつかのメソッドが修正された。
SwingのAction関連のクラスが修正され、Action動作のカスタマイズがより容易に行えるようになった。具体的にはAbstractButton、JMenuItem、ActionPropertyChangeListener、JComboBoxクラス、およびJTextFieldのactionPropertyChangedメソッドなどが変更された。
JSR-269: Annotation Proccessing Tools APIのパッケージ(javax.annotation.processingおよびjavax.lang.model)はrt.jarに追加される。
先日Amit HandaのブログからJDBCドライバの自動ロードの話を紹介したので、ついでにJDBC 4.0の新機能をずらっと挙げておこうと思います。元ネタはLance AndersenのブログとJSR-221のEarly Draftです。
JDBC 4.0 keeps moving forward | Java.net
The Java Community Process(SM) Program - JSRs: Java Specification Requests - detail JSR# 221
java.sql.RowIdが追加され、ROWIDデータにアクセスできるようになった。
新しい型としてNCHAR，NVARCHAR，LONGVARCHAR，NCLOBが追加され、それに関連したメソッドがいくつか追加された。
チェーンされた例外やイテレータ処理のサポート、新しいSQLExceptionのカテゴリの追加などが行われた。
BLOB，CLOB，NCLOBのオブジェクトを扱うための各種メソッドが追加された。
SQL2003をサポートし、XMLデータにアクセスできるようになった。
SQLの操作をサポートするための標準アノテーションやGenerics対応のデータセットが追加された。
ベンダ固有のメソッドを利用できるようにするためにJDBCクラスによるラップを除去できるメソッドが追加された。
Class.forName()を使用しなくても自動的にJDBCドライバをロードできるようになった。
接続状態を追跡してコネクションプール環境でStatementオブジェクトを管理する機能が強化された。
FreeBSDに2件のセキュリティ勧告が出ました。いずれもパッチが公開されています。
NFSサーバにおけるRPCメッセージ処理にバグがあり、カーネルがクラッシュする危険性がある。対象は4.x, 5.x, 6.x。nfs_server_enableを"NO"にしている場合はこの影響を受けない。
OpenSSHとOpenPAMの認証処理にデザイン上の衝突があり、認証処理をストップしてしまう可能性がある。対象は5.3および5.4。sshd_configでUsePAMをnoにしているかUsePrivilegeSeparationをnoにしている場合にはこの影響を受けない。
build73がリリースされました。以下はNew featuresです。
https://www.dev.java.net/files/documents/2817/29768/mustang-b73.html
Java2DのベンチマークプログラムであるJ2DBenchに、イメージの読み込み／書き込みに関する総合的なベンチマークテストが追加された。J2DBenchはMustangにデモプログラムとして付属している(j2se/src/share/demo/java2d/J2DBench)。
java.util.concurrent.locks.ReentrantReadWriteLock.WriteLockクラスに、isHeldByCurrentThread()メソッドとgetHoldCount()メソッドが追加された。これらはそれぞれReentrantReadWriteLockクラスのisWriteLockedByCurrentThread()メソッドおよびgetWriteHoldCount()メソッドと同等のものである。
ヒープ使用量、有効なスレッド数、ロードされたクラス数、CPU使用量をグラフ表示するための"Overview"タブが追加された。また、summeryタブはVMタブにマージされた。
SSL/TLSで保護されたRMIレジストリ経由でのJMXエージェントへの接続をサポートした。
http://java.sun.com/j2se/1.4.2/download.html
J2SE 1.4.2_11がリリースされていました。変更点についてはリリースノートを参照してください。
http://java.sun.com/j2se/1.4.2/ja/ReleaseNotes.html
Mustang Beta Blog Carnival! | Java.netのブログ紹介の続きです。週末は自宅の引っ越しなどでゴタゴタしていたので遅くなりました。
メモリ管理に関する6つのテクニック、すなわちjconsoleによるメモリ使用量の監視、jconsoleによるGCの動作の監視、jconsoleによるfinalize待ちのオブジェクト数の取得、jmapによるヒープヒストグラムの出力、ヒープダンプの出力とjhatによる解析、OutOfMemoryErrorの解析についてそれぞれ解説されています。Mandy ChungはJavaアプリケーションの管理機能の開発を担当しています。
Java SE 6のBetaがなぜ最新のスナップショットではなくてbuild59ベースなのかということが説明されています。Madhura DudhgaonkarはJava SEの品質管理部門のエンジニアです。
以前紹介した「Mustang Regressions Challenge」についてのエントリです。David HerronはJava SEの品質管理部門のエンジニアで、Regressions Challengeの提唱者です。
Mustangに搭載されるJMX APIについてのサマリーが掲載されています。Eamonn McManusはJMXチームのリードです。
Chris Campbell自身が携わった開発のうち気に入っているものベスト5と、同僚の仕事(つまりMustangの新機能そのもの？)のうち気に入っているものベスト6を挙げています。Chris Campbellは2Dチームのエンジニアです。
AWTの新機能、たとえばシステムトレイの利用やスプラッシュスクリーンの表示などについて紹介されています。
ロケール依存のクラスを拡張するためのLocale Sensitive Services SPIについて紹介されています。Satoさんは国際化チームのエンジニアです。
Java Compiler APIについて紹介されています。
Mustangのベータリリースについて紹介されています。Penni HenryはMustangのプログラムマネージャです。
Java SE 6のTCKであるJCK(Java Compatibility Kit) 6のベータ版がリリースされたということが紹介されています。新機能については、対応済のものと未対応のものが列挙されています。このブログはJCKチームのもので、このエントリを書いたGauri SharmaはJCK 6プロジェクトのリードです。
MustangでSun PKCS#11プロバイダを使用してNSS(Network Security Services)にアクセスする方法が解説されています。
Mark Reinholdのブログに「Mustang Beta Blog Carnival!」というタイトルでMustang開発者の代表的なブログのエントリが紹介されています。
http://weblogs.java.net/blog/mreinhold/archive/2006/02/mustang_beta_bl.html
せっかくなので簡単に紹介してみます。個々の内容は、面白そうなものはまた時間のあるときに個別に取り上げたいと思います。
このエントリではChatが注目しているMustangの新機能が紹介されています。Chat Hasseは2Dチームのエンジニアです。
Beta版は最新のスナップショットと何が違うのか、という点について解説されています。簡単に言うと、Beta版はある程度厳しいテストをクリアした上でリリースされるからスナップショットよりは安定している、ということのようです。
HttpURLConnectionにおけるkeep-aliveの実装が改善されて応答性能が良くなったということが解説されています。
SolarisのDTraceを使用してmixed mode stack traceを追跡する方法が紹介されています。
MustangからはLDAPレスポンスの読み込みにタイムアウトを設定できるようになることと、カスタムソケットファクトリからの接続をプールできるようになることが紹介されています。
デスクトップ環境に関するより些細な変更を紹介しています。ButtonGroup.clearSelection()メソッドのこととかWindow.setMinimumSize()メソッドのこととか。Scott VioletはSwingチームの開発者です。
Mustangで導入されるTree API、JSR 269(Pluggable Annotation Processing API)、JSR 199(Java Compiler API)について紹介されています。
Mustangのセキュリティ関連の機能についてのサマリーがエントリされています。Sean MullanはJavaのセキュリティチームのエンジニアです。
新しいDrag and Drop機能について詳しく解説されています。Shannon HickeyはSwingチームのテクニカルリードです。
疲れたので続きはまた。
http://blogs.sun.com/roller/page/blogAmit?entry=jdbc_driver_loading_with_mustang
MustangでJDBCドライバをロードする方法が簡単になりますよ、という話です。簡単に言うと、Class.forName()がいらなくなるからタイプ量が減るしJARファイル内のドライバのパスを知る必要もなくなるということ。
先日の座談会のときにも話題に上ったのですが、Mustangの最新情報はほとんど開発者のBlogで発信されています。英語が読めないとキャッチするのはツライのですが、全訳はムリでも入口だけでも日本語のものがあってくれれば大分ラクだという話が出たので（というか私が主張したんですが^^;）、余裕があるときはできるだけ入口になれるようにがんばってみようと思います。ちなみに私の英語力は底辺クラスなのであまり期待しないでくださいね(笑)。
遅くなりましたが、build71の分のNew featuresです。
https://mustang.dev.java.net/files/documents/2817/28875/mustang-b71.html
Linux版でKOI8-Uのcharsetが追加された。ウクライナのロケールですね。
JVMTIのFollowReferences関数に加えられた変更に関連してHPROFも修正された(ってことでいいんでしょうか？Bug ID:6369157のこと？)
JVMTIのネイティブコードコールバックを使用しないデモ(minst demo)が追加された。
javax.management.modelmbean.ModelMBeanInfoSupportクラスのclone()メソッドが返すのが"Shallow"クローンであることを明確に記述するようにした。従来のものはDeepなのかShallowなのか分かりにくかった。
