nav[aria-label="Primary Navigation"] { padding: 0; & ul { list-style: none; width: 100%; display: flex; flex-direction: row; justify-content: start; align-items: start; gap: 30px; padding: 0; & li { margin: 0; } & ul li { list-style: none; } } }

452299_es-ES

liliconcom

Vulnerabilidad de Apache Log4J: JMP 16.2 o posterior

Hola

Hoy descubrí que la información sobre JMP y la página de vulnerabilidad de Log4J se actualizó porque recibimos una pregunta sobre Log4J de Taiyo Yuden y revisamos la página.

En Taiyo Yuden, hay más de 5000 usuarios de JMP y algunos de ellos se conectan desde JMP al servidor SAS remoto.

https://support.sas.com/en/security-bulletins/remote-code-ejecution-vulnerability-cve-2021-44228.html#221dd3cc-e79a-45e6-bb60-c6814622e1e4

https://www.jmp.com/support/notes/68/714.html

En la página Problem Note 68714, está el párrafo de abajo y no pude entender claramente lo que dice la parte roja.

JMP 16.2 no debería ser vulnerable a CVE-2021-45046 porque se usa la configuración predeterminada, pero es potencialmente vulnerable a CVE-2021-45105. Debido a que JMP usa una implementación estándar y se ejecuta solo cuando se inicia una conexión a SAS (después de lo cual se apaga), JMP no debería ser vulnerable a CVE-2021-45105.

Permítanme confirmar: ¿significa esto que Log4J se ejecuta solo por un instante, por lo que es muy poco probable que ocurra un problema por la vulnerabilidad?

Y Taiyo Yuden preguntó sobre nuestro plan para después de la versión 16.2 de JMP sobre esto. ¿Espera que JMP 17.0 use una versión más nueva (fija) de Log4j?

Tu ayuda es muy apreciada.

kyoko

Re: Vulnerabilidad de Apache Log4J: JMP 16.2 o posterior

Hola Kyoko,

Significa que mientras el cliente no intente agregar información de configuración para el servicio log4j, JMP no debería ser vulnerable.

Brian

Re: Vulnerabilidad de Apache Log4J: JMP 16.2 o posterior

Además, JMP 17 utilizará la versión más reciente de log4j en el momento de la congelación del código.Así que sí, tendrá una versión más nueva.También debería ser posible que el cliente reemplace los archivos relacionados con 3 log4j manualmente si desea la versión más reciente en 16.2.

Brian

Re: Vulnerabilidad de Apache Log4J: JMP 16.2 o posterior

Hola @briancorcoran
¡Muchas gracias por sus rápidas respuestas! La información es muy útil.

Envié la respuesta al cliente y todavía no he recibido ninguna respuesta de ellos. Si tienen más preguntas, permítanme preguntarles de nuevo. No estoy familiarizado con Java.