Vulnerabilità Apache Log4j (urgente!!!!)Ciao,
Ho appena ricevuto questo messaggio da un nostro grande cliente che chiede se JMP utilizza Apache Log4. Qualcuno sa la risposta?:
"Ti stiamo contattando con urgenza in merito alla vulnerabilità critica scoperta di recente che interessa Apache Log4j, che è un pacchetto di registrazione per Java.Tutti i sistemi IT che utilizzano questo pacchetto devono essere aggiornati al più presto per chiudere la vulnerabilità.
La vulnerabilità critica consente l'esecuzione di codice remoto e alcune informazioni di base sono disponibili qui: Una vulnerabilità in Apache Log4j potrebbe consentire l'esecuzione di codice arbitrario (cisecurity.org)
Abbiamo bisogno della tua collaborazione per monitorare e correggere questa vulnerabilità. Potete per favore controllare e confermarci che JMP non sta utilizzando questa libreria di log?"
Re: Vulnerabilità Apache Log4j (urgente!!!!)ecco il bollettino esterno di SAS . Indica che JMP non è interessato dalla vulnerabilità.
Re: Vulnerabilità Apache Log4j (urgente!!!!)ciao Ryan,
Grazie per la risposta molto veloce.Questo è esattamente quello che speravo di sentire.
Hadley
Re: Vulnerabilità Apache Log4j (urgente!!!!)@Duane_Hayes sta coordinando una nota JMP per spiegare completamente la nostra situazione. Aggiungeremo un collegamento a quella nota qui e negli annunci su jmp.com e community.jmp.com.
Re: Vulnerabilità Apache Log4j (urgente!!!!)Sembra che JMP Genomics e JMP Clinical siano interessati da SAS 9.4.Vulnerabilità legata all'esecuzione di codice remoto (CVE-2021-44228) | Supporto SAS è stato aggiornato di recente.Il supporto tecnico è a conoscenza.
Re: Vulnerabilità Apache Log4j (urgente!!!!)Ciao a tutti,
Torniamo di nuovo a questo, purtroppo.Qualcuno mi ha scritto chiedendomi del file log4j.jar all'interno della cartella JMP:
Stanno chiedendo se possono semplicemente eliminare il file o è necessario?Mi chiedo la stessa cosa io stesso, o se avere il file ci espone alla vulnerabilità.
Cosa dovrei consigliare?
Re: Vulnerabilità Apache Log4j (urgente!!!!)Risposta davvero breve, e quella che dovresti dare : indirizzare i clienti con domande come questa all'Assistenza tecnica, support@jmp.com . Salva la tua relazione e le tue conoscenze per aiutarli con i loro problemi aziendali e l'adozione di JMP. Lascia che il supporto tecnico se ne occupi.
Risposta breve : Se non stanno utilizzando l'integrazione SAS, sì, possono eliminarla.
Risposta più lunga Nota: se stanno utilizzando l'integrazione SAS, non possono eliminarla, ma non vi è alcuna vulnerabilità nel lasciarla in posizione perché il JRE utilizzato da JMP disabilita le opzioni di messaggistica che causano la vulnerabilità.
