Vulnérabilité Apache Log4j (urgente !!!!)Salut,
Je viens de recevoir ce message d'un de nos grands clients me demandant si JMP utilise Apache Log4. Est-ce que quelqu'un connaît la réponse ? :
"Nous vous contactons de toute urgence concernant la vulnérabilité critique récemment découverte affectant Apache Log4j qui est un package de journalisation pour Java.Tous les systèmes informatiques utilisant ce package doivent être mis à jour dès que possible pour fermer la vulnérabilité.
La vulnérabilité critique permet l'exécution de code à distance, et quelques informations de fond peuvent être trouvées ici : Une vulnérabilité dans Apache Log4j pourrait permettre l'exécution de code arbitraire (cisecurity.org)
Nous avons besoin de votre collaboration pour suivre et corriger cette vulnérabilité. Pouvez-vous s'il vous plaît vérifier et nous confirmer que JMP n'utilise pas cette bibliothèque de journalisation ?"
Re : Vulnérabilité Apache Log4j (urgente !!!!)Ici se trouve le bulletin externe du SAS . Il mentionne que JMP n'est pas affecté par la vulnérabilité.
Re: Vulnérabilité Apache Log4j (urgente !!!!)Salut Ryan,
Merci pour la réponse très rapide.C'est exactement ce que j'espérais entendre.
Hadley
Re : Vulnérabilité Apache Log4j (urgente !!!!)@Duane_Hayes coordonne une note JMP pour expliquer complètement notre situation. Nous ajouterons un lien vers cette note ici et dans les annonces sur jmp.com et community.jmp.com.
Re: Vulnérabilité Apache Log4j (urgente !!!!)Il semble que JMP Genomics et JMP Clinical soient impactés à cause de SAS 9.4.Vulnérabilité d'exécution de code à distance (CVE-2021-44228) | Prise en charge SAS a été mis à jour récemment.Le support technique est au courant.
Re: Vulnérabilité Apache Log4j (urgente !!!!)Salut à tous,
Revenons à cela, malheureusement.Quelqu'un m'a écrit pour me poser des questions sur le fichier log4j.jar dans le dossier JMP :
Ils demandent s'ils peuvent simplement supprimer le fichier, ou est-ce obligatoire ?Je me demande moi-même la même chose, ou si le fait d'avoir le fichier nous expose à la vulnérabilité.
Que dois-je conseiller?
Re : Vulnérabilité Apache Log4j (urgente !!!!)Réponse vraiment courte, et celle que vous devriez donner : Veuillez référer les clients ayant des questions comme celle-ci au support technique, support@jmp.com . Enregistrez votre relation et vos connaissances pour les aider à résoudre leurs problèmes commerciaux et l'adoption de JMP. Laissez le support technique gérer cela.
Réponse courte : S'ils n'utilisent pas l'intégration SAS, oui, ils peuvent la supprimer.
Réponse plus longue : S'ils utilisent l'intégration SAS, ils ne peuvent pas la supprimer, mais il n'y a pas de vulnérabilité à la laisser en place car le JRE utilisé par JMP désactive les options de messagerie à l'origine de la vulnérabilité.
