Los productos JMP utilizan Java para conectarse a aplicaciones SAS® en sistemas remotos. El archivo Log4j se utiliza únicamente en la opción SAS® Integration Technologies que se utiliza para conectar JMP a SAS. Si esta opción no se seleccionó durante la instalación (la selección predeterminada no está marcada), los archivos Log4j no deberían estar presentes en el sistema.
JMP® 18.0
La compatibilidad con Java se ha eliminado en JMP 18. No hay ninguna vulnerabilidad de Log4j presente en esta versión.
JMP® 17.0
Esta versión de JMP ejecuta la versión 2.17.2 de Log4j, que figura como la versión corregida y no está sujeta a la vulnerabilidad.
JMP® 16.1 y anteriores
Esta sección incluye JMP ® Genomics 10.1 y versiones anteriores, y JMP ® Clinical 8.1 y productos anteriores, que no se ven afectados por la vulnerabilidad CVE-2021-44228 (Log4Shell) debido a las siguientes razones, a las que se hace referencia en CVE-2021-4104 :
- En JMP ® 16, Java Runtime Environment protege contra la vulnerabilidad de los mensajes porque el software JMP utiliza Java 11.
- En todas las versiones de JMP, no se proporciona el archivo de configuración necesario para habilitar la operación de paso de mensajes.
- En JMP 16.1 y anteriores, la versión de Log4j es 1. x , que es anterior a la vulnerabilidad.
JMP® 16.2
JMP 16.2 se encontraba en las últimas etapas de pruebas de lanzamiento cuando se descubrió el problema de seguridad de Log4j. JMP 16.2 utiliza Log4j 2.15.0.
El software de seguridad y los escáneres de códigos informarán que JMP 16.2 es vulnerable porque utiliza Log4j 2.15.0, que es vulnerable a CVE-2021-45105 y CVE-2021-45046:
- CVE-2021-45105 (gravedad media 5.9): Las versiones 2.0-alpha1 a 2.16.0 de Apache Log4j2 no protegían contra la recursión no controlada de las búsquedas autorreferenciales. Esta vulnerabilidad podría permitir que un atacante con control sobre los datos del mapa de contexto de subprocesos provoque una denegación de servicio cuando se interpreta una cadena creada. Este problema se solucionó en Log4j 2.17.0.
- CVE-2021-45046 (gravedad crítica 9.0): se descubrió que la corrección para abordar CVE-2021-44228 en Apache Log4j 2.15.0 estaba incompleta en ciertas configuraciones no predeterminadas. Cuando la configuración de registro utiliza un diseño de patrón no predeterminado con una búsqueda de contexto (por ejemplo, $${ctx:loginId}), los atacantes con control sobre los datos de entrada del mapa de contexto de subprocesos podrían crear datos de entrada maliciosos utilizando un patrón de búsqueda JNDI, lo que da como resultado una fuga de información y la ejecución de código remoto en algunos entornos y la ejecución de código local en todos los entornos; la ejecución de código remoto se ha demostrado en MacOS, Fedora, Arch Linux y Alpine Linux.
JMP 16.2 no debería ser vulnerable a CVE-2021-45046 porque se utiliza la configuración predeterminada, pero es potencialmente vulnerable a CVE-2021-45105. Debido a que JMP utiliza una implementación estándar y se ejecuta solo cuando se inicia una conexión con SAS (después de lo cual se apaga), JMP no debería ser vulnerable a CVE-2021-45105.
Sin embargo, si instaló SAS Integration Technologies para permitir que JMP se conecte a SAS y desea una solución de mitigación, puede desinstalar SAS Integration Technologies de JMP.
Para desinstalar SAS Integration Technologies:
Ventanas
- En el cuadro de búsqueda de la barra de tareas, escriba Panel de control y selecciónelo de los resultados.
- Seleccione Programas ► Programas y características .
- Haga clic derecho en JMP y seleccione Cambiar o Modificar .
- Cuando aparezca la ventana Opciones de JMP, desmarque Tecnologías de integración y haga clic en Aplicar .
Podría ser necesario reiniciar.
Mac OS
Apple sella los paquetes de sus aplicaciones, por lo que no es posible eliminar los archivos Log4j sin dañar la instalación. Por este motivo, se recomienda que actualice a JMP 16.1.
Para obtener más información, consulte la Declaración oficial de SAS sobre la vulnerabilidad de ejecución remota de código .
Si necesita ayuda adicional o tiene más preguntas, comuníquese con el Soporte técnico de JMP .
[Anteriormente Nota JMP 68714]
