JMP 产品使用 Java 连接到远程系统上的 SAS ®应用程序。Log4j 文件仅用于将 JMP 连接到 SAS 的 SAS ®集成技术选项。如果在安装期间未选中此选项（默认选择为未选中），则系统中不应存在 Log4j 文件。
JMP® 18.0
JMP 18 中已删除 Java 支持。此版本中不存在 Log4j 漏洞。
JMP® 17.0
此版本的 JMP 运行的是 Log4j 版本 2.17.2，该版本被列为修复版本，不受漏洞影响。
JMP® 16.1 及更早版本
本节包括 JMP ® Genomics 10.1 及更早版本以及 JMP ® Clinical 8.1 及更早版本产品，这些产品不受 CVE-2021-44228 (Log4Shell) 漏洞的影响，原因如下（在CVE-2021-4104中提及）：
- 在 JMP ® 16 中，Java 运行时环境可防止消息漏洞，因为 JMP 软件使用 Java 11。
- 在所有版本的 JMP 中，均未提供启用消息传递操作所需的配置文件。
- 在 JMP 16.1 及更早版本中，Log4j 版本是1.x ，早于该漏洞的出现。
JMP® 16.2
当发现 Log4j 安全问题时，JMP 16.2 正处于发布测试的最后阶段。JMP 16.2 使用 Log4j 2.15.0。
安全软件和代码扫描程序会将 JMP 16.2 报告为易受攻击，因为它使用了 Log4j 2.15.0，而该版本易受 CVE-2021-45105 和 CVE-2021-45046 攻击：
- CVE-2021-45105 (5.9 中等严重性)：Apache Log4j2 版本 2.0-alpha1 至 2.16.0 未针对自引用查找的不受控制的递归提供保护。此漏洞可能允许控制线程上下文映射数据的攻击者在解释精心设计的字符串时导致拒绝服务。此问题已在 Log4j 2.17.0 中修复。
- CVE-2021-45046 （9.0 严重程度）：我们发现，Apache Log4j 2.15.0 中针对CVE-2021-44228的修复在某些非默认配置中不完整。当日志记录配置使用带有上下文查找的非默认模式布局（例如 $${ctx:loginId}）时，控制线程上下文映射输入数据的攻击者可以使用 JNDI 查找模式制作恶意输入数据，导致某些环境中的信息泄露和远程代码执行，以及所有环境中的本地代码执行；远程代码执行已在 MacOS、Fedora、Arch Linux 和 Alpine Linux 上得到证实。
JMP 16.2 应该不会受到 CVE-2021-45046 的攻击，因为使用的是默认配置，但它可能受到 CVE-2021-45105 的攻击。由于 JMP 使用标准实现，并且仅在启动与 SAS 的连接时运行（之后会关闭），因此 JMP 应该不会受到 CVE-2021-45105 的攻击。
但是，如果您安装了 SAS Integration Technologies 以使 JMP 能够连接到 SAS，并且您需要缓解解决方案，则可以从 JMP 中卸载 SAS Integration Technologies。
卸载 SAS 集成技术:
视窗
- 在任务栏上的搜索框中，键入控制面板并从结果中选择它。
- 选择程序 ► 程序和功能。
- 右键单击JMP并选择更改或修改。
- 当出现 JMP 选项窗口时，取消选中集成技术并单击应用。
可能需要重新启动。
苹果系统
Apple 密封了其应用程序包，因此无法在不破坏安装的情况下删除 Log4j 文件。因此，建议您降级到 JMP 16.1。
更多信息请参见SAS官方关于远程代码执行漏洞的声明。
如果您需要更多帮助或有更多疑问，请联系 JMP 技术支持。
[先前的 JMP 说明 68714]
