I prodotti JMP utilizzano Java per connettersi alle applicazioni SAS ® su sistemi remoti. Il file Log4j viene utilizzato solo nell'opzione SAS ® Integration Technologies utilizzata per connettere JMP a SAS. Se questa opzione non è stata selezionata durante l'installazione (la selezione predefinita è deselezionata), i file Log4j non dovrebbero essere presenti sul sistema.
Versione JMP® 18.0
Il supporto Java è stato rimosso in JMP 18. In questa versione non è presente alcuna vulnerabilità Log4j.
Versione JMP® 17.0
Questa versione di JMP esegue la versione 2.17.2 di Log4j, che è elencata come la versione corretta e non è soggetta all'exploit.
JMP® 16.1 e versioni precedenti
Questa sezione include i prodotti JMP ® Genomics 10.1 e precedenti e JMP ® Clinical 8.1 e precedenti, che non sono interessati dalla vulnerabilità CVE-2021-44228 (Log4Shell) per i seguenti motivi, indicati in CVE-2021-4104 :
- In JMP ® 16, Java Runtime Environment protegge dalla vulnerabilità dei messaggi perché il software JMP utilizza Java 11.
- In tutte le versioni di JMP non viene fornito il file di configurazione necessario per abilitare l'operazione di passaggio dei messaggi.
- In JMP 16.1 e versioni precedenti, la versione di Log4j è 1. x , precedente alla vulnerabilità.
Versione JMP® 16.2
JMP 16.2 era nelle fasi finali del test di rilascio quando è stato scoperto il problema di sicurezza di Log4j. JMP 16.2 utilizza Log4j 2.15.0.
I software di sicurezza e gli scanner di codici segnaleranno JMP 16.2 come vulnerabile perché utilizza Log4j 2.15.0, che è vulnerabile a CVE-2021-45105 e CVE-2021-45046:
- CVE-2021-45105 (5.9 gravità media): le versioni di Apache Log4j2 dalla 2.0-alpha1 alla 2.16.0 non proteggevano dalla ricorsione incontrollata da ricerche autoreferenziali. Questa vulnerabilità potrebbe consentire a un aggressore con controllo sui dati della Thread Context Map di causare un diniego di servizio quando viene interpretata una stringa creata ad arte. Questo problema è stato risolto in Log4j 2.17.0.
- CVE-2021-45046 (gravità critica 9.0): è stato scoperto che la correzione per risolvere CVE-2021-44228 in Apache Log4j 2.15.0 era incompleta in alcune configurazioni non predefinite. Quando la configurazione di registrazione utilizza un Pattern Layout non predefinito con Context Lookup (ad esempio, $${ctx:loginId}), gli aggressori con controllo sui dati di input della Thread Context Map potrebbero creare dati di input dannosi utilizzando un pattern JNDI Lookup, con conseguente perdita di informazioni ed esecuzione di codice remoto in alcuni ambienti ed esecuzione di codice locale in tutti gli ambienti; l'esecuzione di codice remoto è stata dimostrata su MacOS, Fedora, Arch Linux e Alpine Linux.
JMP 16.2 non dovrebbe essere vulnerabile a CVE-2021-45046 perché viene utilizzata la configurazione predefinita, ma è potenzialmente vulnerabile a CVE-2021-45105. Poiché JMP utilizza un'implementazione standard e viene eseguito solo quando si avvia una connessione a SAS (dopodiché viene arrestato), JMP non dovrebbe essere vulnerabile a CVE-2021-45105.
Tuttavia, se hai installato SAS Integration Technologies per consentire a JMP di connettersi a SAS e desideri una soluzione di mitigazione, puoi disinstallare SAS Integration Technologies da JMP.
Per disinstallare SAS Integration Technologies:
Finestre
- Nella casella di ricerca sulla barra delle applicazioni, digita Pannello di controllo e selezionalo dai risultati.
- Selezionare Programmi ► Programmi e funzionalità .
- Fare clic con il pulsante destro del mouse su JMP e selezionare Cambia o Modifica .
- Quando viene visualizzata la finestra Opzioni JMP, deselezionare Tecnologie di integrazione e fare clic su Applica .
Potrebbe essere necessario un riavvio.
MacOS
Apple sigilla i suoi pacchetti applicativi, quindi non è possibile rimuovere i file Log4j senza corrompere l'installazione. Per questo motivo, si consiglia di effettuare il downgrade a JMP 16.1.
Per ulteriori informazioni, consultare la dichiarazione ufficiale SAS relativa alla vulnerabilità relativa all'esecuzione di codice in modalità remota .
Per ulteriore assistenza o domande, contattare il supporto tecnico JMP .
[In precedenza JMP Nota 68714]
