JMP-Produkte verwenden Java, um eine Verbindung zu SAS ® -Anwendungen auf Remote-Systemen herzustellen. Die Log4j-Datei wird nur in der Option SAS ® Integration Technologies verwendet, die zum Verbinden von JMP mit SAS verwendet wird. Wenn diese Option während der Installation nicht aktiviert wurde (die Standardauswahl ist deaktiviert), sollten keine Log4j-Dateien auf dem System vorhanden sein.
JMP® 18.0
Die Java-Unterstützung wurde in JMP 18 entfernt. In dieser Version ist keine Log4j-Sicherheitslücke vorhanden.
JMP® 17.0
Diese Version von JMP führt die Log4j-Version 2.17.2 aus, die als korrigierte Version aufgeführt ist und nicht vom Exploit betroffen ist.
JMP® 16.1 und früher
Dieser Abschnitt umfasst JMP ® Genomics 10.1 und früher sowie JMP ® Clinical 8.1 und frühere Produkte, die aus den folgenden, in CVE-2021-4104 genannten Gründen nicht von der Sicherheitslücke CVE-2021-44228 (Log4Shell) betroffen sind:
- In JMP® 16 schützt die Java Runtime Environment vor der Nachrichtensicherheitslücke, da die JMP-Software Java 11 verwendet.
- In allen Versionen von JMP wird die erforderliche Konfigurationsdatei zum Aktivieren des Nachrichtenübermittlungsvorgangs nicht bereitgestellt.
- In JMP 16.1 und älter ist die Log4j-Version 1. x , die vor der Sicherheitsanfälligkeit vorhanden ist.
JMP® 16.2
JMP 16.2 befand sich in der Endphase der Release-Tests, als das Log4j-Sicherheitsproblem entdeckt wurde. JMP 16.2 verwendet Log4j 2.15.0.
Sicherheitssoftware und Codescanner melden JMP 16.2 als anfällig, da es Log4j 2.15.0 verwendet, das für CVE-2021-45105 und CVE-2021-45046 anfällig ist:
- CVE-2021-45105 (5.9 Mittlerer Schweregrad): Apache Log4j2 Versionen 2.0-alpha1 bis 2.16.0 schützten nicht vor unkontrollierter Rekursion durch selbstreferenzielle Nachschlagevorgänge. Diese Sicherheitsanfälligkeit könnte es einem Angreifer mit Kontrolle über Thread Context Map-Daten ermöglichen, einen Denial-of-Service-Angriff auszulösen, wenn eine manipulierte Zeichenfolge interpretiert wird. Dieses Problem wurde in Log4j 2.17.0 behoben.
- CVE-2021-45046 (9.0 Kritischer Schweregrad): Es wurde festgestellt, dass der Fix zur Behebung von CVE-2021-44228 in Apache Log4j 2.15.0 in bestimmten nicht standardmäßigen Konfigurationen unvollständig war. Wenn die Protokollierungskonfiguration ein nicht standardmäßiges Musterlayout mit einer Kontextsuche verwendet (z. B. $${ctx:loginId}), könnten Angreifer mit Kontrolle über die Eingabedaten der Thread Context Map mithilfe eines JNDI-Suchmusters bösartige Eingabedaten erstellen, was zu einem Informationsleck und Remotecodeausführung in einigen Umgebungen und lokaler Codeausführung in allen Umgebungen führen kann; Remotecodeausführung wurde unter MacOS, Fedora, Arch Linux und Alpine Linux nachgewiesen.
JMP 16.2 sollte nicht anfällig für CVE-2021-45046 sein, da die Standardkonfiguration verwendet wird, aber es ist potenziell anfällig für CVE-2021-45105. Da JMP eine Standardimplementierung verwendet und nur ausgeführt wird, wenn eine Verbindung zu SAS initiiert wird (danach wird es heruntergefahren), sollte JMP nicht anfällig für CVE-2021-45105 sein.
Wenn Sie jedoch SAS Integration Technologies installiert haben, um die Verbindung von JMP mit SAS zu ermöglichen, und Sie eine mildernde Lösung wünschen, können Sie SAS Integration Technologies von JMP deinstallieren.
So deinstallieren Sie SAS Integration Technologies:
Windows
- Geben Sie im Suchfeld auf der Taskleiste „Systemsteuerung“ ein und wählen Sie es aus den Ergebnissen aus.
- Wählen Sie Programme ► Programme und Funktionen .
- Klicken Sie mit der rechten Maustaste auf JMP und wählen Sie „Ändern“ oder „Modifizieren“ aus.
- Wenn das Fenster „JMP-Optionen“ angezeigt wird, deaktivieren Sie „Integrationstechnologien“ und klicken Sie auf „Übernehmen“ .
Möglicherweise ist ein Neustart erforderlich.
MacOS
Apple versiegelt seine Anwendungspakete, sodass es nicht möglich ist, die Log4j-Dateien zu entfernen, ohne die Installation zu beschädigen. Aus diesem Grund wird empfohlen, ein Downgrade auf JMP 16.1 durchzuführen.
Weitere Informationen finden Sie in der offiziellen SAS-Erklärung zur Sicherheitsanfälligkeit bezüglich Remotecodeausführung .
Wenn Sie weitere Hilfe benötigen oder weitere Fragen haben, wenden Sie sich an den technischen Support von JMP .
[Vorheriger JMP-Hinweis 68714]
