Apache Log4j-Schwachstelle (dringend!!!!)Hallo,
Ich habe gerade diese Nachricht von einem unserer großen Kunden erhalten, die gefragt haben, ob JMP Apache Log4 verwendet. Kennt jemand die Antwort?:
"Wir kontaktieren Sie dringend bezüglich der kürzlich entdeckten kritischen Sicherheitslücke, die Apache Log4j betrifft, ein Protokollierungspaket für Java.Alle IT-Systeme, die dieses Paket verwenden, müssen so schnell wie möglich aktualisiert werden, um die Schwachstelle zu schließen.
Die kritische Sicherheitslücke ermöglicht Remotecodeausführung, und einige Hintergrundinformationen finden Sie hier: Eine Schwachstelle in Apache Log4j könnte die Ausführung willkürlichen Codes ermöglichen (cisecurity.org)
Wir benötigen Ihre Mitarbeit, um diese Sicherheitsanfälligkeit zu verfolgen und zu beheben. Können Sie bitte überprüfen und uns bestätigen, dass JMP diese Protokollierungsbibliothek nicht verwendet?"
Betreff: Apache Log4j-Schwachstelle (dringend!!!!)Hier ist die externes Bulletin von SAS . Darin wird erwähnt, dass JMP von der Sicherheitsanfälligkeit nicht betroffen ist.
Betreff: Apache Log4j-Schwachstelle (dringend!!!!)Hallo Ryan,
Vielen Dank für die sehr schnelle Antwort.Genau das hatte ich zu hören gehofft.
Hadley
Betreff: Apache Log4j-Schwachstelle (dringend!!!!)@Duane_Hayes koordiniert eine JMP-Notiz, um unsere Situation vollständig zu erläutern. Wir werden einen Link zu diesem Hinweis hier und in den Ankündigungen auf jmp.com und community.jmp.com hinzufügen.
Betreff: Apache Log4j-Schwachstelle (dringend!!!!)Es sieht so aus, als wären JMP Genomics und JMP Clinical von SAS 9.4 betroffen.Sicherheitsanfälligkeit bezüglich Remotecodeausführung (CVE-2021-44228) | SAS-Unterstützung wurde vor kurzem aktualisiert.Der technische Support ist sich bewusst.
Betreff: Apache Log4j-Schwachstelle (dringend!!!!)Hallo allerseits,
Leider noch einmal darauf zurück.Jemand hat mir geschrieben und nach der Datei log4j.jar im JMP-Ordner gefragt:
Sie fragen, ob sie die Datei einfach löschen können oder ob dies erforderlich ist?Ich frage mich dasselbe, oder ob wir durch die Datei der Sicherheitsanfälligkeit ausgesetzt sind.
Was soll ich raten?
Betreff: Apache Log4j-Schwachstelle (dringend!!!!)Wirklich kurze Antwort, und die, die Sie geben sollten : Bitte verweisen Sie Kunden mit solchen Fragen an den technischen Support, support@jmp.com . Speichern Sie Ihre Beziehung und Ihr Wissen, um bei ihren Geschäftsproblemen und der JMP-Einführung zu helfen. Überlassen Sie dies dem technischen Support.
Kurze Antwort : Wenn sie die SAS-Integration nicht verwenden, können sie sie löschen.
Längere Antwort : Wenn sie die SAS-Integration verwenden, können sie sie nicht löschen, aber es besteht keine Sicherheitslücke, wenn sie beibehalten wird, da die von JMP verwendete JRE die Messaging-Optionen deaktiviert, die die Sicherheitslücke verursachen.
