JMP 產品使用 Java 連接到遠端系統上的 SAS ®應用程式。 Log4j 檔案僅在用於將 JMP 連接到 SAS 的 SAS ®整合技術選項中使用。如果在安裝過程中未選取此選項（預設選擇未選取），則系統上不應存在 Log4j 檔案。
JMP®18.0
JMP 18 中已刪除 Java 支援。
JMP®17.0
此版本的 JMP 運行的是 Log4j 版本 2.17.2，該版本被列為修復版本，不會受到利用。
JMP® 16.1 及更早版本
本部分包括JMP® Genomics 10.1 及更早版本以及JMP® Clinical 8.1 及更早版本產品，由於CVE-2021-4104中引用的以下原因，這些產品不受 CVE-2021-44228 (Log4Shell) 漏洞的影響：
- 在 JMP ® 16 中，Java 執行環境可以防止訊息漏洞，因為 JMP 軟體使用 Java 11。
- 在 JMP 的所有版本中，均未提供啟用訊息傳遞操作所需的設定檔。
- 在 JMP 16.1 及更早版本中，Log4j 版本為1.x ，此版本早於漏洞。
JMP®16.2
當發現 Log4j 安全性問題時，JMP 16.2 正處於發布測試的最後階段。 JMP 16.2 使用 Log4j 2.15.0。
安全軟體和程式碼掃描器會將 JMP 16.2 報告為易受攻擊，因為它使用 Log4j 2.15.0，而該版本容易受到 CVE-2021-45105 和 CVE-2021-45046 的攻擊：
- CVE-2021-45105 （5.9 中度嚴重性）：Apache Log4j2 版本 2.0-alpha1 至 2.16.0 無法防止自引用查找的不受控制的遞歸。此漏洞可能允許控制執行緒上下文映射資料的攻擊者在解釋精心設計的字串時導致拒絕服務。此問題已在 Log4j 2.17.0 中修復。
- CVE-2021-45046 （9.0 嚴重嚴重性）：發現 Apache Log4j 2.15.0 中解決CVE-2021-44228的修復在某些非預設配置中不完整。當日誌記錄配置使用帶有上下文查找的非預設模式佈局（例如，$${ctx:loginId}）時，控制執行緒上下文映射輸入資料的攻擊者可以使用 JNDI 查找模式製作惡意輸入數據，從而產生資訊某一些環境中的洩漏和遠端程式碼執行以及所有環境中的本地代碼執行；遠端程式碼執行已在 MacOS、Fedora、Arch Linux 和 Alpine Linux 上進行了演示。
JMP 16.2 不應容易受到 CVE-2021-45046 的影響，因為使用了預設配置，但它可能容易受到 CVE-2021-45105 的影響。由於 JMP 使用標準實現，並且僅在啟動與 SAS 的連接時運行（之後關閉），因此 JMP 不應容易受到 CVE-2021-45105 的影響。
但是，如果您安裝了 SAS 整合技術以使 JMP 連接到 SAS，並且您需要緩解解決方案，則可以從 JMP 卸載 SAS 整合技術。
卸載 SAS Integration Technologies:
視窗
- 在工作列上的搜尋框中，鍵入「控制面板」並從結果中選擇它。
- 選擇程式 ► 程式和功能。
- 右鍵單擊JMP並選擇更改或修改。
- 當出現“JMP 選項”視窗時，取消選取“整合技術”並按一下“應用” 。
可能需要重新啟動。
蘋果系統
Apple 密封了其應用程式包，因此不可能在不損壞安裝的情況下刪除 Log4j 檔案。因此，建議您降級到 JMP 16.1。
有關更多信息，請參閱SAS 關於遠端程式碼執行漏洞的官方聲明。
如果您需要其他協助或有更多問題，請聯絡 JMP 技術支援。
[以前的 JMP 註 68714]
