Apache Log4j Schwachstelle (dringend!!!!)Hi,
Ich habe gerade diese Nachricht von einem großen Kunden von uns erhalten, der gefragt hat, ob JMP Apache Log4 verwendet. Weiß jemand die Antwort?:
"Wir kontaktieren Sie dringend bezüglich der kürzlich entdeckten kritischen Schwachstelle, die Apache Log4j betrifft, ein Protokollierungspaket für Java.Alle IT-Systeme, die dieses Paket verwenden, müssen so schnell wie möglich aktualisiert werden, um die Schwachstelle zu schließen.
Die kritische Schwachstelle ermöglicht die Ausführung von Code aus der Ferne, und einige Hintergrundinformationen finden Sie hier: Eine Schwachstelle in Apache Log4j könnte die Ausführung willkürlichen Codes ermöglichen (cisecurity.org)
Wir brauchen Ihre Mitarbeit, um diese Schwachstelle zu verfolgen und zu beheben. Können Sie bitte überprüfen und uns bestätigen, dass JMP diese Protokollbibliothek nicht verwendet?"
Betreff: Schwachstelle in Apache Log4j (dringend!!!!)Wirklich kurze Antwort, und die, die Sie geben sollten : Bitte verweisen Sie Kunden mit solchen Fragen an den technischen Support, support@jmp.com . Speichern Sie Ihre Beziehung und Ihr Wissen, um bei deren geschäftlichen Problemen und der Einführung von JMP zu helfen. Überlassen Sie dies dem technischen Support.
Kurze Antwort : Wenn sie die SAS-Integration nicht verwenden, können sie sie ja löschen.
Längere Antwort : Wenn sie die SAS-Integration verwenden, können sie sie nicht löschen, aber es gibt keine Schwachstelle, wenn sie an Ort und Stelle bleibt, da die JRE, die JMP verwendet, die Messaging-Optionen deaktiviert, die die Schwachstelle verursachen.
Betreff: Schwachstelle in Apache Log4j (dringend!!!!)Hallo allerseits,
Leider nochmal darauf zurück.Jemand schrieb mir und fragte nach der log4j.jar-Datei im JMP-Ordner:
Sie fragen, ob sie die Datei einfach löschen können, oder ist es erforderlich?Ich frage mich selbst dasselbe, oder ob uns die Datei der Schwachstelle aussetzt.
Was soll ich raten?
Betreff: Schwachstelle in Apache Log4j (dringend!!!!)Es sieht so aus, als ob JMP Genomics und JMP Clinical wegen SAS 9.4 betroffen sind.Sicherheitsanfälligkeit bezüglich Remotecodeausführung (CVE-2021-44228) | SAS-Unterstützung wurde kürzlich aktualisiert.Der technische Support ist sich dessen bewusst.
Betreff: Schwachstelle in Apache Log4j (dringend!!!!)@Duane_Hayes koordiniert eine JMP Note, um unsere Situation vollständig zu erklären. Wir werden hier und in den Ankündigungen auf jmp.com und community.jmp.com einen Link zu dieser Notiz hinzufügen.
Betreff: Schwachstelle in Apache Log4j (dringend!!!!)Hallo Ryan,
Vielen Dank für die sehr schnelle Antwort.Das ist genau das, was ich zu hören gehofft hatte.
Hadley
Betreff: Schwachstelle in Apache Log4j (dringend!!!!)Hier ist die externes Bulletin von SAS . Darin wird erwähnt, dass JMP nicht von der Schwachstelle betroffen ist.
