JMP 製品は、Java を使用してリモート システム上の SAS ®アプリケーションに接続します。Log4j ファイルは、JMP を SAS に接続するために使用される SAS ®統合テクノロジ オプションでのみ使用されます。インストール時にこのオプションが選択されなかった場合 (デフォルトでは選択されていません)、Log4j ファイルはシステム上に存在しません。
JMP® 18.0
JMP 18 では Java サポートが削除されました。このバージョンには Log4j の脆弱性は存在しません。
JMP® 17.0
このバージョンの JMP は Log4j バージョン 2.17.2 を実行しています。これは修正バージョンとしてリストされており、エクスプロイトの影響を受けません。
JMP® 16.1 以前
このセクションには、 CVE-2021-4104で参照されている次の理由により、CVE-2021-44228 (Log4Shell) の脆弱性の影響を受けない、JMP ® Genomics 10.1 以前、および JMP ® Clinical 8.1 以前の製品が含まれます。
- JMP ® 16 では、JMP ソフトウェアが Java 11 を使用しているため、Java ランタイム環境によってメッセージの脆弱性から保護されます。
- JMP のすべてのバージョンでは、メッセージ パッシング操作を有効にするために必要な構成ファイルは提供されていません。
- JMP 16.1 以前では、Log4j バージョンは1.xであり、脆弱性が発生する前のものです。
JMP® 16.2
Log4j のセキュリティ問題が発見されたとき、JMP 16.2 はリリース テストの最終段階にありました。JMP 16.2 は Log4j 2.15.0 を使用します。
セキュリティ ソフトウェアとコード スキャナーは、CVE-2021-45105 および CVE-2021-45046 に対して脆弱な Log4j 2.15.0 を使用しているため、JMP 16.2 を脆弱であると報告します。
- CVE-2021-45105 (5.9 中程度の重大度): Apache Log4j2 バージョン 2.0-alpha1 から 2.16.0 では、自己参照ルックアップによる制御されていない再帰から保護されていませんでした。この脆弱性により、スレッド コンテキスト マップ データを制御できる攻撃者が、細工された文字列を解釈したときにサービス拒否を引き起こす可能性があります。この問題は Log4j 2.17.0 で修正されました。
- CVE-2021-45046 (9.0 重大度): Apache Log4j 2.15.0 のCVE-2021-44228への修正が、特定の非デフォルト構成で不完全であることが判明しました。ログ記録構成でコンテキスト ルックアップ (たとえば、$${ctx:loginId}) を含む非デフォルトのパターン レイアウトが使用されている場合、スレッド コンテキスト マップの入力データを制御できる攻撃者が JNDI ルックアップ パターンを使用して悪意のある入力データを作成し、一部の環境で情報漏洩やリモート コード実行が発生する可能性があり、すべての環境でローカル コード実行が発生する可能性があります。リモート コード実行は、MacOS、Fedora、Arch Linux、および Alpine Linux で実証されています。
JMP 16.2 はデフォルト設定が使用されているため CVE-2021-45046 に対して脆弱ではないはずですが、CVE-2021-45105 に対して潜在的に脆弱です。JMP は標準実装を使用し、SAS への接続を開始するときにのみ実行されるため (その後はシャットダウンされます)、JMP は CVE-2021-45105 に対して脆弱ではないはずです。
ただし、JMP が SAS に接続できるように SAS Integration Technologies をインストールしており、緩和策が必要な場合は、JMP から SAS Integration Technologies をアンインストールできます。
SAS統合テクノロジーをアンインストールするには:
ウィンドウズ
- タスク バーの検索ボックスに「コントロール パネル」と入力し、結果から選択します。
- [プログラム] ► [プログラムと機能]を選択します。
- JMP を右クリックし、 [変更] または [修正]を選択します。
- JMP オプション ウィンドウが表示されたら、統合テクノロジのチェックを外して、適用をクリックします。
再起動が必要になる場合があります。
MacOS
Apple はアプリケーション パッケージを封印しているため、インストールを破損せずに Log4j ファイルを削除することはできません。このため、JMP 16.1 にダウングレードすることをお勧めします。
詳細については、 リモート コード実行の脆弱性に関する SAS の公式声明を参照してください。
追加のサポートが必要な場合やご質問がある場合は、 JMP テクニカル サポートにお問い合わせください。
[以前の JMP ノート 68714]
