Apache Log4J の脆弱性: JMP 16.2 以降やあ
本日、太陽誘電からLog4Jに関するお問い合わせがあり、ページを確認したところ、JMPとLog4Jの脆弱性に関する情報ページが更新されていることがわかりました。
太陽誘電には 5000 人を超える JMP ユーザーがおり、そのうちの何人かは JMP からリモートの SAS サーバーに接続しています。
https://support.sas.com/en/security-bulletins/remote-code-execution-vulnerability-cve-2021-44228.html#221dd3cc-e79a-45e6-bb60-c6814622e1e4
https://www.jmp.com/support/notes/68/714.html
Problem Note 68714のページに下の段落があり、赤い部分が何を言っているのかよくわかりませんでした。
デフォルト設定が使用されるため、JMP 16.2 は CVE-2021-45046 に対して脆弱ではありませんが、CVE-2021-45105 に対して潜在的に脆弱です。 JMP は標準の実装を使用し、SAS への接続を開始するとき (その後シャットダウンされるとき) にのみ実行されるため、JMP は CVE-2021-45105 に対して脆弱ではありません。
確認させてください。これは、Log4J がほんの一瞬しか実行されないため、脆弱性による問題が発生する可能性が非常に低いということですか?
また、太陽誘電様からは、JMP 16.2 以降のバージョンについて、これについての質問がありました。 JMP 17.0 はより新しい (修正された) バージョンの Log4j を使用すると思いますか?
よろしくお願いいたします。
きょうこ
Re: Apache Log4J の脆弱性: JMP 16.2 以降やあ@ブライアンコーコラン
迅速なご回答ありがとうございます。 情報はとても役に立ちます。
顧客に回答を送信しましたが、まだ顧客から何の返答もありません。 さらに質問がある場合は、もう一度質問させてください。 私はJavaに精通していません。
ありがとう、素晴らしい一日を。
きょうこ
Re: Apache Log4J の脆弱性: JMP 16.2 以降また、JMP 17 はコード フリーズ時に最新バージョンの log4j を使用します。そうです、それは新しいバージョンになります。16.2 の最新バージョンが必要な場合は、顧客が 3 つの log4j 関連ファイルを手動で置き換えることも可能です。
ブライアン
Re: Apache Log4J の脆弱性: JMP 16.2 以降京子さん、こんにちは。
これは、顧客が log4j サービスの構成情報を追加しようとしない限り、JMP は脆弱ではないことを意味します。
ブライアン
