452299_it-IT

liliconcom

Vulnerabilità Apache Log4J: JMP 16.2 o successivo

Ciao

Oggi ho scoperto che le informazioni sulla pagina di vulnerabilità di JMP e Log4J sono state aggiornate perché abbiamo ricevuto una domanda su Log4J da Taiyo Yuden e abbiamo controllato la pagina.

A Taiyo Yuden, ci sono oltre 5000 utenti JMP e alcuni di loro si connettono da JMP al server SAS remoto.

https://support.sas.com/en/security-bulletins/remote-code-execution-vulnerability-cve-2021-44228.html#221dd3cc-e79a-45e6-bb60-c6814622e1e4

https://www.jmp.com/support/notes/68/714.html

 

Nella pagina Problema 68714 c'è il paragrafo sotto e non ho capito bene cosa dice la parte rossa.

 

JMP 16.2 non dovrebbe essere vulnerabile a CVE-2021-45046 perché viene utilizzata la configurazione predefinita, ma è potenzialmente vulnerabile a CVE-2021-45105. Poiché JMP utilizza un'implementazione standard e viene eseguito solo all'avvio di una connessione a SAS (dopo di che viene spento), JMP non dovrebbe essere vulnerabile a CVE-2021-45105.

 

Consentitemi di confermare: questo significa che Log4J viene eseguito solo per il minimo istante, quindi è molto improbabile che si verifichi un problema di vulnerabilità?

E Taiyo Yuden ha chiesto informazioni sul nostro piano per la versione successiva alla 16.2 di JMP su questo. Ti aspetti che JMP 17.0 utilizzi la versione più recente (fissa) di Log4j?

Il tuo aiuto è molto apprezzato.

Kyoko

Ri: Vulnerabilità Apache Log4J: JMP 16.2 o successivo

Ciao @briancorcoran
Grazie mille per le vostre risposte veloci! Le informazioni sono molto utili.

Ho inviato la risposta al cliente e non ho ancora ricevuto alcuna risposta da parte sua. Se hanno altre domande, permettimi di chiedertelo di nuovo. Non ho familiarità con Java.

Grazie e buona giornata.

Kyoko

 

Ri: Vulnerabilità Apache Log4J: JMP 16.2 o successivo

Inoltre, JMP 17 utilizzerà la versione più recente di log4j al momento del blocco del codice.Quindi sì, avrà una versione più recente.Dovrebbe anche essere possibile per il cliente sostituire manualmente i 3 file relativi a log4j se desidera la versione più recente in 16.2.

Brian

 

Ri: Vulnerabilità Apache Log4J: JMP 16.2 o successivo

Ciao Kyoko,

Significa che finché il cliente non tenta di aggiungere informazioni di configurazione per il servizio log4j, JMP non dovrebbe essere vulnerabile.

 

Brian