Les produits JMP utilisent Java pour se connecter aux applications SAS ® sur des systèmes distants. Le fichier Log4j est utilisé uniquement dans l'option SAS ® Integration Technologies qui permet de connecter JMP à SAS. Si cette option n'a pas été cochée lors de l'installation (la sélection par défaut est décochée), les fichiers Log4j ne doivent pas être présents sur le système.
JMP® 18.0
La prise en charge de Java a été supprimée dans JMP 18. Aucune vulnérabilité Log4j n'est présente dans cette version.
JMP® 17.0
Cette version de JMP exécute la version Log4j 2.17.2, qui est répertoriée comme la version corrigée et n'est pas soumise à l'exploit.
JMP® 16.1 et versions antérieures
Cette section inclut les produits JMP ® Genomics 10.1 et antérieurs, ainsi que JMP ® Clinical 8.1 et antérieurs, qui ne sont pas concernés par la vulnérabilité CVE-2021-44228 (Log4Shell) pour les raisons suivantes, référencées dans CVE-2021-4104 :
- Dans JMP ® 16, l’environnement d’exécution Java protège contre la vulnérabilité des messages car le logiciel JMP utilise Java 11.
- Dans toutes les versions de JMP, le fichier de configuration nécessaire pour activer l'opération de transmission de messages n'est pas fourni.
- Dans JMP 16.1 et les versions antérieures, la version Log4j est 1. x , ce qui est antérieur à la vulnérabilité.
JMP® 16.2
JMP 16.2 était en phase finale de test de version lorsque le problème de sécurité Log4j a été découvert. JMP 16.2 utilise Log4j 2.15.0.
Les logiciels de sécurité et les scanners de code signaleront JMP 16.2 comme vulnérable car il utilise Log4j 2.15.0, qui est vulnérable aux CVE-2021-45105 et CVE-2021-45046 :
- CVE-2021-45105 (gravité moyenne 5.9) : les versions 2.0-alpha1 à 2.16.0 d'Apache Log4j2 ne protégeaient pas contre la récursivité incontrôlée des recherches autoréférentielles. Cette vulnérabilité pourrait permettre à un attaquant ayant le contrôle des données de la carte de contexte de thread de provoquer un déni de service lorsqu'une chaîne conçue est interprétée. Ce problème a été corrigé dans Log4j 2.17.0.
- CVE-2021-45046 (gravité critique 9.0) : il a été constaté que le correctif pour résoudre CVE-2021-44228 dans Apache Log4j 2.15.0 était incomplet dans certaines configurations non par défaut. Lorsque la configuration de journalisation utilise une disposition de modèle non par défaut avec une recherche de contexte (par exemple, $${ctx:loginId}), les attaquants ayant le contrôle des données d'entrée de la carte de contexte de thread pourraient créer des données d'entrée malveillantes à l'aide d'un modèle de recherche JNDI, ce qui entraînerait une fuite d'informations et une exécution de code à distance dans certains environnements et une exécution de code local dans tous les environnements ; l'exécution de code à distance a été démontrée sur MacOS, Fedora, Arch Linux et Alpine Linux.
JMP 16.2 ne devrait pas être vulnérable à CVE-2021-45046 car la configuration par défaut est utilisée, mais il est potentiellement vulnérable à CVE-2021-45105. Étant donné que JMP utilise une implémentation standard et s'exécute uniquement lors de l'initialisation d'une connexion à SAS (après quoi il est arrêté), JMP ne devrait pas être vulnérable à CVE-2021-45105.
Toutefois, si vous avez installé SAS Integration Technologies pour permettre à JMP de se connecter à SAS et que vous souhaitez une solution d'atténuation, vous pouvez désinstaller SAS Integration Technologies de JMP.
Pour désinstaller SAS Integration Technologies:
Fenêtres
- Dans la zone de recherche de la barre des tâches, saisissez Panneau de configuration et sélectionnez-le dans les résultats.
- Sélectionnez Programmes ► Programmes et fonctionnalités .
- Cliquez avec le bouton droit sur JMP et sélectionnez Modifier ou Modifier .
- Lorsque la fenêtre Options JMP apparaît, décochez Technologies d'intégration et cliquez sur Appliquer .
Un redémarrage peut être nécessaire.
MacOS
Apple scelle ses packages d'applications, il n'est donc pas possible de supprimer les fichiers Log4j sans corrompre l'installation. Pour cette raison, il est recommandé de rétrograder vers JMP 16.1.
Pour plus d'informations, consultez la déclaration officielle SAS concernant la vulnérabilité d'exécution de code à distance .
Si vous avez besoin d'aide supplémentaire ou si vous avez d'autres questions, contactez le support technique JMP .
[Auparavant JMP Note 68714]
