nav[aria-label="Primary Navigation"] { padding: 0; & ul { list-style: none; width: 100%; display: flex; flex-direction: row; justify-content: start; align-items: start; gap: 30px; padding: 0; & li { margin: 0; } & ul li { list-style: none; } } }

452299_de-DE

liliconcom

Schwachstelle in Apache Log4J: JMP 16.2 oder höher

Hallo

Heute habe ich festgestellt, dass die Informationen über die Sicherheitslücken von JMP und Log4J aktualisiert wurden, weil wir eine Frage zu Log4J von Taiyo Yuden erhalten und die Seite überprüft haben.

Bei Taiyo Yuden gibt es über 5000 JMP-Benutzer, und einige von ihnen stellen eine Verbindung von JMP zu einem Remote-SAS-Server her.

https://support.sas.com/en/security-bulletins/remote-code-execution-vulnerability-cve-2021-44228.html#221dd3cc-e79a-45e6-bb60-c6814622e1e4

https://www.jmp.com/support/notes/68/714.html

Auf der Seite Problemhinweis 68714 gibt es den folgenden Absatz und ich konnte nicht klar verstehen, was der rote Teil sagt.

JMP 16.2 sollte nicht anfällig für CVE-2021-45046 sein, da die Standardkonfiguration verwendet wird, aber es ist möglicherweise anfällig für CVE-2021-45105. Da JMP eine Standardimplementierung verwendet und nur ausgeführt wird, wenn eine Verbindung zu SAS hergestellt wird (und danach heruntergefahren wird), sollte JMP nicht anfällig für CVE-2021-45105 sein.

Lassen Sie mich bestätigen: Bedeutet dies, dass Log4J nur für den geringsten Moment ausgeführt wird, sodass ein Problem durch die Schwachstelle sehr unwahrscheinlich ist?

Und Taiyo Yuden fragte diesbezüglich nach unserem Plan für die Version 16.2 von JMP. Erwarten Sie, dass JMP 17.0 eine neuere (korrigierte) Version von Log4j verwendet?

Ihre Hilfe wird gerne in Anspruch genommen.

Kyoko

Betreff: Sicherheitslücke in Apache Log4J: JMP 16.2 oder höher

Hallo Kyoko,

Das bedeutet, dass JMP nicht anfällig sein sollte, solange der Kunde nicht versucht, Konfigurationsinformationen für den log4j-Dienst hinzuzufügen.

Brian

Betreff: Sicherheitslücke in Apache Log4J: JMP 16.2 oder höher

Außerdem verwendet JMP 17 die neueste Version von log4j zum Zeitpunkt des Einfrierens des Codes.Also ja, es wird eine neuere Version geben.Es sollte dem Kunden auch möglich sein, die 3 log4j-bezogenen Dateien manuell zu ersetzen, wenn er die neueste Version in 16.2 haben möchte.

Brian

Betreff: Sicherheitslücke in Apache Log4J: JMP 16.2 oder höher

Hallo @briancorcoran
Vielen Dank für eure schnellen Antworten! Die Informationen sind sehr hilfreich.

Ich habe die Antwort an den Kunden gesendet und noch keine Antwort von ihm erhalten. Wenn sie weitere Fragen haben, erlauben Sie mir einfach, Sie noch einmal zu fragen. Ich kenne mich mit Java nicht aus.