Vulnerabilidad de Apache Log4j (urgente !!!!)Hola,
Acabo de recibir este mensaje de un gran cliente nuestro preguntando si JMP usa Apache Log4. ¿Alguien sabe la respuesta?:
"Nos estamos comunicando con usted con urgencia con respecto a la vulnerabilidad crítica recientemente descubierta que afecta a Apache Log4j, que es un paquete de registro para Java.Todos los sistemas de TI que utilizan este paquete deben actualizarse lo antes posible para cerrar la vulnerabilidad.
La vulnerabilidad crítica permite la ejecución remota de código, y aquí se puede encontrar información de fondo: Una vulnerabilidad en Apache Log4j podría permitir la ejecución arbitraria de código (cisecurity.org)
Necesitamos su colaboración para rastrear y remediar esta vulnerabilidad. ¿Puede verificar y confirmarnos que JMP no está usando esta biblioteca de registro? "
Re: vulnerabilidad de Apache Log4j (urgente !!!!)Aquí esta la boletín externo de SAS . Menciona que JMP no se ve afectado por la vulnerabilidad.
Re: vulnerabilidad de Apache Log4j (urgente !!!!)Hola Ryan,
Gracias por la rápida respuesta.Esto es exactamente lo que esperaba escuchar.
Hadley
Re: vulnerabilidad de Apache Log4j (urgente !!!!)@Duane_Hayes está coordinando una Nota JMP para explicar nuestra situación completamente. Agregaremos un enlace a esa nota aquí y en los anuncios en jmp.com y community.jmp.com.
Re: vulnerabilidad de Apache Log4j (urgente !!!!)Parece que JMP Genomics y JMP Clinical se ven afectados por SAS 9.4.Vulnerabilidad de ejecución remota de código (CVE-2021-44228) | Soporte SAS se actualizó recientemente.El soporte técnico está al tanto.
Re: vulnerabilidad de Apache Log4j (urgente !!!!)Hola a todos,
De nuevo a esto, desafortunadamente.Alguien me escribió preguntando sobre el archivo log4j.jar dentro de la carpeta JMP:
Están preguntando si pueden simplemente eliminar el archivo o si es necesario.Yo mismo me pregunto lo mismo, o si tener el archivo nos expone a la vulnerabilidad.
¿Qué debo aconsejar?
Re: vulnerabilidad de Apache Log4j (urgente !!!!)Respuesta realmente corta, y la que debes dar. : Refiera a los clientes con preguntas como esta al Soporte técnico, support@jmp.com . Guarde su relación y sus conocimientos para ayudarlos con sus problemas comerciales y la adopción de JMP. Deje que el soporte técnico se encargue de esto.
Respuesta corta : Si no están usando la integración SAS, sí, pueden eliminarla.
Respuesta más larga : Si están usando la integración SAS, no pueden eliminarlo, pero no hay ninguna vulnerabilidad al dejarlo en su lugar porque el JRE que usa JMP deshabilita las opciones de mensajería que causan la vulnerabilidad.
