452299_fr-FR

liliconcom

Vulnérabilité Apache Log4J : JMP 16.2 ou version ultérieure

Salut

Aujourd'hui, j'ai découvert que les informations sur la page de vulnérabilité JMP et Log4J ont été mises à jour car nous avons reçu une question sur Log4J de Taiyo Yuden et avons vérifié la page.

Chez Taiyo Yuden, il y a plus de 5000 utilisateurs JMP et certains d'entre eux se connectent depuis JMP au serveur SAS distant.

https://support.sas.com/en/security-bulletins/remote-code-execution-vulnerability-cve-2021-44228.html#221dd3cc-e79a-45e6-bb60-c6814622e1e4

https://www.jmp.com/support/notes/68/714.html

 

Dans la page Problem Note 68714, il y a le paragraphe ci-dessous et je n'ai pas pu comprendre clairement ce que dit la partie rouge.

 

JMP 16.2 ne devrait pas être vulnérable à CVE-2021-45046 car la configuration par défaut est utilisée, mais il est potentiellement vulnérable à CVE-2021-45105. Étant donné que JMP utilise une implémentation standard et s'exécute uniquement lors de l'établissement d'une connexion à SAS (après quoi il est arrêté), JMP ne devrait pas être vulnérable à CVE-2021-45105.

 

Permettez-moi de confirmer : cela signifie-t-il que Log4J n'est exécuté que pour le moindre instant, de sorte qu'un problème lié à la vulnérabilité est très peu susceptible de se produire ?

Et Taiyo Yuden a posé des questions sur notre plan pour la version après 16.2 de JMP à ce sujet. Pensez-vous que JMP 17.0 utilise une version plus récente (fixe) de Log4j ?

Votre aide est grandement appréciée.

Kyoko

Re : Vulnérabilité Apache Log4J : JMP 16.2 ou version ultérieure

Salut @briancorcoran
Merci beaucoup pour vos réponses rapides ! Les informations sont très utiles.

J'ai envoyé la réponse au client et je n'ai pas encore reçu de réponse de sa part. S'ils ont d'autres questions, permettez-moi de vous les poser à nouveau. Je ne connais pas Java.

Merci et passez une bonne journée.

Kyoko

 

Re : Vulnérabilité Apache Log4J : JMP 16.2 ou version ultérieure

De plus, JMP 17 utilisera la dernière version de log4j au moment du gel du code.Alors oui, il aura une version plus récente.Il devrait également être possible pour le client de remplacer manuellement les 3 fichiers associés à log4j s'il souhaite la version la plus récente en 16.2.

Brian

 

Re : Vulnérabilité Apache Log4J : JMP 16.2 ou version ultérieure

Salut Kyoko,

Cela signifie que tant que le client n'essaie pas d'ajouter des informations de configuration pour le service log4j, JMP ne devrait pas être vulnérable.

 

Brian