Apache Log4J 취약점: JMP 16.2 이상안녕
오늘 저는 Taiyo Yuden에서 Log4J에 대한 질문을 받고 페이지를 확인했기 때문에 JMP 및 Log4J 취약점 페이지에 대한 정보가 업데이트되었음을 알았습니다.
Taiyo Yuden에는 5000명이 넘는 JMP 사용자가 있으며 그 중 일부는 JMP에서 원격 SAS 서버로 연결합니다.
https://support.sas.com/en/security-bulletins/remote-code-execution-vulnerability-cve-2021-44228.html#221dd3cc-e79a-45e6-bb60-c6814622e1e4
https://www.jmp.com/support/notes/68/714.html
문제노트 68714 페이지에 아래 문단이 있는데 빨간 부분이 무슨 말인지 잘 모르겠습니다.
JMP 16.2는 기본 구성이 사용되기 때문에 CVE-2021-45046에 취약하지 않아야 하지만 CVE-2021-45105에는 잠재적으로 취약합니다. JMP는 표준 구현을 사용하고 SAS에 대한 연결을 시작할 때만 실행되기 때문에(이후 종료됨) JMP는 CVE-2021-45105에 취약하지 않아야 합니다.
확인하겠습니다. 이것은 Log4J가 아주 잠깐 동안만 실행되어 취약점으로 인한 문제가 발생할 가능성이 매우 낮다는 것을 의미합니까?
그리고 이에 대해 Taiyo Yuden은 JMP 16.2 이후의 계획에 대해 질문했습니다. JMP 17.0이 최신(고정) 버전의 Log4j를 사용할 것으로 예상하십니까?
귀하의 도움에 감사드립니다.
쿄코
Re: Apache Log4J 취약점: JMP 16.2 이상안녕 @briancorcoran
귀하의 빠른 응답에 대단히 감사합니다! 정보는 매우 도움이 됩니다.
고객에게 답변을 보냈지만 아직 답변을 받지 못했습니다. 추가 질문이 있는 경우 다시 질문할 수 있습니다. 나는 자바에 익숙하지 않다.
감사합니다. 좋은 하루 보내세요.
쿄코
Re: Apache Log4J 취약점: JMP 16.2 이상또한 JMP 17은 코드 고정 시점에 최신 버전의 log4j를 사용합니다.예, 최신 버전이 있을 것입니다.고객이 16.2의 최신 버전을 원하는 경우 3개의 log4j 관련 파일을 수동으로 교체하는 것도 가능해야 합니다.
브라이언
Re: Apache Log4J 취약점: JMP 16.2 이상안녕하세요 쿄코님
이는 고객이 log4j 서비스에 대한 구성 정보를 추가하려고 하지 않는 한 JMP가 취약하지 않아야 함을 의미합니다.
브라이언
