JMP 제품은 Java를 사용하여 원격 시스템의 SAS ® 애플리케이션에 연결합니다. Log4j 파일은 JMP를 SAS에 연결하는 데 사용되는 SAS ® Integration Technologies 옵션에서만 사용됩니다. 설치 중에 이 옵션을 선택하지 않은 경우(기본 선택은 선택 취소됨), Log4j 파일은 시스템에 없어야 합니다.
제이엠피® 18.0
JMP 18에서는 Java 지원이 제거되었습니다. 이 버전에서는 Log4j 취약성이 없습니다.
제이엠피® 17.0
이 버전의 JMP는 수정된 버전으로 나열되어 있고 악용될 가능성이 없는 Log4j 버전 2.17.2를 실행합니다.
JMP® 16.1 및 이전 버전
이 섹션에는 다음과 같은 이유로 CVE-2021-4104 에 언급된 CVE-2021-44228(Log4Shell) 취약성의 영향을 받지 않는 JMP ® Genomics 10.1 및 이전 버전, JMP ® Clinical 8.1 및 이전 버전이 포함됩니다.
- JMP ® 16에서는 JMP 소프트웨어가 Java 11을 사용하기 때문에 Java Runtime Environment가 메시지 취약점으로부터 보호합니다.
- 모든 버전의 JMP에서 메시지 전달 작업을 활성화하는 데 필요한 구성 파일이 제공되지 않습니다.
- JMP 16.1 및 이전 버전에서는 Log4j 버전이 1.x 이며, 이는 취약점보다 이전 버전입니다.
한국어: JMP® 16.2
JMP 16.2는 Log4j 보안 문제가 발견되었을 때 릴리스 테스트의 마지막 단계에 있었습니다. JMP 16.2는 Log4j 2.15.0을 사용합니다.
보안 소프트웨어 및 코드 스캐너는 JMP 16.2가 CVE-2021-45105 및 CVE-2021-45046에 취약한 Log4j 2.15.0을 사용하기 때문에 JMP 16.2를 취약하다고 보고합니다.
- CVE-2021-45105 (5.9 중간 심각도): Apache Log4j2 버전 2.0-alpha1~2.16.0은 자체 참조 조회의 제어되지 않은 재귀로부터 보호하지 못했습니다. 이 취약점은 Thread Context Map 데이터를 제어하는 공격자가 정교하게 만든 문자열을 해석할 때 서비스 거부를 일으킬 수 있습니다. 이 문제는 Log4j 2.17.0에서 수정되었습니다.
- CVE-2021-45046 (9.0 심각도): Apache Log4j 2.15.0에서 CVE-2021-44228을 해결하기 위한 수정 사항이 특정 기본이 아닌 구성에서 불완전한 것으로 밝혀졌습니다. 로깅 구성에서 컨텍스트 조회(예: $${ctx:loginId})가 있는 기본이 아닌 패턴 레이아웃을 사용하는 경우, 스레드 컨텍스트 맵 입력 데이터를 제어하는 공격자는 JNDI 조회 패턴을 사용하여 악성 입력 데이터를 제작할 수 있으며, 그 결과 일부 환경에서는 정보 유출 및 원격 코드 실행이 발생하고 모든 환경에서는 로컬 코드 실행이 발생합니다. 원격 코드 실행은 MacOS, Fedora, Arch Linux, Alpine Linux에서 시연되었습니다.
JMP 16.2는 기본 구성을 사용하기 때문에 CVE-2021-45046에 취약하지 않지만 잠재적으로 CVE-2021-45105에 취약합니다. JMP는 표준 구현을 사용하고 SAS에 대한 연결을 시작할 때만 실행되므로(그 후 종료됨) JMP는 CVE-2021-45105에 취약하지 않습니다.
하지만 JMP를 SAS에 연결할 수 있도록 SAS Integration Technologies를 설치했고 완화 솔루션이 필요한 경우 JMP에서 SAS Integration Technologies를 제거하면 됩니다.
SAS Integration Technologies를 제거하려면:
윈도우
- 작업 표시줄의 검색창에 제어판을 입력하고 결과에서 선택합니다.
- 프로그램 ► 프로그램 및 기능을 선택합니다.
- JMP를 마우스 오른쪽 버튼으로 클릭하고 변경 또는 수정을 선택합니다.
- JMP 옵션 창이 나타나면 통합 기술의 선택을 취소하고 적용을 클릭합니다.
재부팅이 필요할 수 있습니다.
맥OS
Apple은 애플리케이션 패키지를 봉인하므로 설치를 손상시키지 않고 Log4j 파일을 제거하는 것은 불가능합니다. 이러한 이유로 JMP 16.1로 다운그레이드하는 것이 좋습니다.
자세한 내용은 원격 코드 실행 취약성에 대한 공식 SAS 성명을 참조하세요.
추가 지원이 필요하거나 궁금한 점이 있으면 JMP 기술 지원팀에 문의하세요 .
[이전 JMP 노트 68714]
