JS7® JobScheduler V.2.2.1公開

JS7® JobScheduler V.2.2.1がリリースされました。

今回のリリースは、Apache Log4jのリモートコード実行の脆弱性(CVE-2021-4832)の対応で、Log4j 2.17.1に更新されています。また、2.2.0であったPostgresの不具合やその他の軽微な不具合も修正されています。

詳細は以下をご参照ください
https://kb.sos-berlin.com/display/PKB/Release+2.2.1

ダウンロード
https://www.sos-berlin.com/en/jobscheduler-downloads

 

オンラインデモはこちらからお申込できます。
https://www.sos-berlin.com/en/try-out

ジョブ管理 JS7®JobScheduler
https://www.ossl.co.jp/

JobScheduler V.1.13.11公開

JobScheduler V.1.13.11がリリースされました。

今回のリリースは、Apache Log4jのリモートコード実行の脆弱性(CVE-2021-4832)の対応で、Log4j 2.17.1に更新されています。

また本リリースは、V.1.13系の一般公開最終版となり、V.1.13.12以降のバグフィックス版の入手にはLTS契約が必要となります。詳細は以下をご参照ください

Product Life Cycle Management

リリースノートは以下をご参照ください
https://kb.sos-berlin.com/display/PKB/Release+1.13.11

ダウンロード
https://www.sos-berlin.com/en/jobscheduler-downloads

オンラインデモはこちらからお申込できます。
https://www.sos-berlin.com/en/try-out

ジョブ管理 JS7®JobScheduler
https://www.ossl.co.jp/

Apache Log4jのRCE(リモートコード実行の脆弱性)(CVE-2021-44832)について(SOS JobScheduler)

2021/12/29

Apache Log4jのRCE(リモートコード実行)の脆弱性について、新たな脆弱性が発見されCVE-2021-44832として公開されています。

Apache Log4j2 バージョン 2.0-beta7 から 2.17.0 (セキュリティフィックスリリース 2.3.2 と 2.12.4 を除く) には、リモートコード実行 (RCE) 攻撃の脆弱性があり、ロギング設定ファイルを変更する権限を持つ攻撃者が、JNDI URI を参照するデータソースを使って JDBC Appender で不正な設定を行い、リモートコードを実行できるようになってしまいます。この問題は、Log4j2 のバージョン 2.17.1, 2.12.4, 2.3.2 において、JNDI データソース名を java プロトコルに制限することで修正されます。

Apache Log4j Security Vulnerabilities
Fixed in Log4j 2.17.1 (Java 8)
https://logging.apache.org/log4j/2.x/security.html#log4j-2.17.1

JobScheduler V.1.13.10, V.2.2.0以降では設定ファイルlog4j2.xmlのデフォルト設定から、JDBC Appenderを使用するよう変更していない限り、CVE-2021-42832の影響を受ける可能性はないと考えていますが、下記が公開されましたのでご確認ください。

Update log4j2 2.17.1 to 2.17.1 due to 3rd party vulnerability issue in log4j2 2.17.0 (CVE-2021-44832)

https://change.sos-berlin.com/browse/JOC-1192?src=confmacro

 

JS7® JobScheduler V.2.2.0公開

JS7® JobScheduler V.2.2.0がリリースされました。

今回のリリースは、Apache Log4jの任意のコード実行の脆弱性(CVE-2021-45105, CVE-2021-44228, CVE-2021-45046)の対応(log4j 2.17.0へのアップデート)に加え、下記の新機能追加とバグフィックスを含んでいますので、アップデートを強く推奨します。

  • HashiCorp Vault® シークレット管理のサポート
  • 通知機能の強化

詳細は以下をご参照ください
https://kb.sos-berlin.com/display/PKB/Release+2.2.0

ダウンロード
https://www.sos-berlin.com/en/jobscheduler-downloads

※Postgresご使用の場合は以下のパッチ適用が必要です。

https://change.sos-berlin.com/browse/JOC-1191

パッチ適用方法は以下の通りです。
1. JOCの停止
2. JOC Patchの適用
a. joc_patch_20211224_JOC-1146-login.zipを /home/scheduler/sos-berlin.com/js7/joc/patches にコピーし、
b. $ java -jar /home/scheduler/sos-berlin.com/js7/joc/patches/bin/patch-executor-2.2.0.jar
を実行
 

オンラインデモはこちらからお申込できます。
https://www.sos-berlin.com/en/try-out

ジョブ管理 JS7®JobScheduler
https://www.ossl.co.jp/

JS7® JobSchedulerワークフロー間連携 記事公開しました

JS7®JobSchedulerは独SOS社(Software- und Organisations-Service GmbH)によって開発されている、ジョブ管理システムです。
OSSジョブ管理ツールの定番JobSchedulerをリニューアルし、従来より耐障害性、大規模環境対応を強化し、ミッションクリティカルな要求に対応しています。
本記事では、JS7®JobSchedulerで異なるワークフロー間で連携する実行する方法までを記載しています。

https://qiita.com/satoruf/items/64b185880f4ac0e05c5d

オンラインデモはこちらからお申込できます。
https://www.sos-berlin.com/en/try-out

ジョブ管理 JS7®JobScheduler
https://www.ossl.co.jp/

【続々報】Apache Log4jの任意のコード実行の脆弱性(CVE-2021-45105)について(SOS JobScheduler)

2021/12/18

Apache Log4jの任意のコード実行の脆弱性について、新たな脆弱性が発見されCVE-2021-45105として公開されました。

自己参照による制御不能な再帰から保護されていないことに起因し、Log4jの設定によっては影響を受けるサービス運用妨害攻撃の可能性を修正したlog4j 2.17が公開されています。

Apache Log4j Security Vulnerabilities
Fixed in Log4j 2.17.0 (Java 8)
https://logging.apache.org/log4j/2.x/security.html#log4j-2.17.0

JobScheduler V.1.13.10以降では設定ファイルlog4j2.xmlのデフォルト設定を変えていない限り、CVE-2021-45105の影響を受ける可能性は低いと考えていますが、下記対応策が公開されましたのでご確認ください。

JOC-1188 Update log4j2 2.16.0 to 2.17.0 due to 3rd party vulnerability issue in log4j2 2.16.0 (CVE-2021-45105)
 https://change.sos-berlin.com/browse/JOC-1188?jql=text%20~%20%22log4j2%22

対応策:Log4jライブラリを対策済みの2.16/2.17に入れ替える

  • マスター
    • 1.13.3:以下ファイルを削除: 
      • SCHEDULER_HOME/lib/3rd-party
        • log4j-api-2.13.0.jar
        • log4j-core-2.13.0.jar
      • SCHEDULER_HOME/lib/log/log4j
        • log4j-slf4j-impl-2.13.0.jar
    • 1.13.4 to 1.13.8:以下ファイルを削除:  
      • SCHEDULER_HOME/lib/3rd-party
        • log4j-api-2.13.2.jar
        • log4j-core-2.13.2.jar
      • SCHEDULER_HOME/lib/log/log4j
        • log4j-slf4j-impl-2.13.2.jar
    •  1.13.9:以下ファイルを削除:  
      • SCHEDULER_HOME/lib/3rd-party
        • log4j-api-2.14.0.jar
        • log4j-core-2.14.0.jar
      • SCHEDULER_HOME/lib/log/log4j
        • log4j-slf4j-impl-2.14.0.jar
    •  1.13.10:以下ファイルを削除:  
      • SCHEDULER_HOME/lib/3rd-party
        • log4j-core-2.16.0.jar
    • 1.13.3 – 1.13.9:以下ファイルをコピー: 
      •  SCHEDULER_HOME/lib/3rd-party
        • log4j-api-2.16.0.jar
        • log4j-core-2.17.0.jar
      • SCHEDULER_HOME/lib/log/log4j
        • log4j-slf4j-impl-2.16.0.jar
    • 1.13.10:以下ファイルをコピー: 
      •  SCHEDULER_HOME/lib/3rd-party
        • log4j-core-2.17.0.jar
  • エージェント
    • 1.13.3:以下ファイルを削除:   
      • SCHEDULER_HOME/lib/3rd-party
        • log4j-api-2.13.0.jar
        • log4j-core-2.13.0.jar
      • SCHEDULER_HOME/lib/log/log4j
        • log4j-slf4j-impl-2.13.0.jar
    • 1.13.4 to 1.13.8:以下ファイルを削除:   
      • SCHEDULER_HOME/lib/3rd-party
        • log4j-api-2.13.2.jar
        • log4j-core-2.13.2.jar
      • SCHEDULER_HOME/lib/log/log4j
        • log4j-slf4j-impl-2.13.2.jar
    • 1.13.9:以下ファイルを削除:   
      • SCHEDULER_HOME/lib/3rd-party
        • log4j-api-2.14.0.jar
        • log4j-core-2.14.0.jar
      • SCHEDULER_HOME/lib/log/log4j
        • log4j-slf4j-impl-2.14.0.jar
    • 1.13.10:以下ファイルを削除:   
      • SCHEDULER_HOME/lib/3rd-party
        • log4j-core-2.16.0.jar
    • 1.13.3 – 1.13.9:以下ファイルをコピー:
      • SCHEDULER_HOME/lib/3rd-party
        • log4j-core-2.17.0.jar
        • log4j-api-2.16.0.jar
      • SCHEDULER_HOME/lib/log/log4j
        • log4j-slf4j-impl-2.16.0.jar
    • 1.13.10:以下ファイルをコピー:
      • SCHEDULER_HOME/lib/3rd-party
        • log4j-core-2.17.0.jar
  • JOCコックピット

JobScheduler V.1.13.10公開

JobScheduler V.1.13.10がリリースされました。

今回のリリースは、Apache Log4jの任意のコード実行の脆弱性(CVE-2021-44228, CVE-2021-45046)の対応に加え、多数のバグフィックスを含んでいますので、アップデートを強く推奨します。

詳細は以下をご参照ください
https://kb.sos-berlin.com/display/PKB/Release+1.13.10

関連する脆弱性については以下をご参照ください

https://kb.sos-berlin.com/display/PKB/Vulnerability+Release+1.13.10

ダウンロード
https://www.sos-berlin.com/en/jobscheduler-downloads

オンラインデモはこちらからお申込できます。
https://www.sos-berlin.com/en/try-out

ジョブ管理 JS7®JobScheduler
https://www.ossl.co.jp/

【続報】Apache Log4jの任意のコード実行の脆弱性(CVE-2021-44228)について(SOS JobScheduler)

2021/12/16 更新

JPCERT/CCよりApache Log4jの任意のコード実行の脆弱性(CVE-2021-44228)に関する注意喚起が更新されCVE-2021-45046について追記されました。

特定の構成において不正なJNDI検索パターンを入力値とする場合にサービス運用妨害(DoS)が生じる可能性があることが判明し、Message Lookup機能が削除され、JNDIへのアクセスがデフォルトで無効になりました。この問題にはCVE-2021-45046が採番されています

llog4j 2.15及び下記対策は不完全であり、log4j 2.16へのアップデートが推奨されています。
(1)Log4jを実行するJava仮想マシンを起動時に「log4j2.formatMsgNoLookups」というJVMフラグオプションを「true」に指定する 例: -Dlog4j2.formatMsgNoLookups=true
(2)環境変数「LOG4J_FORMAT_MSG_NO_LOOKUPS」を「true」に設定する。

JobSchedulerの回避策も更新されましたので、以下をご確認ください。
https://change.sos-berlin.com/browse/JOC-1184

https://change.sos-berlin.com/browse/JOC-1186

2021/12/14

SOS社では現在上記修正版を含んだ緊急リリース(V.1.13.10, V.2.2.0)を作成中であり、2021/12/24に公開予定です。
回避策が更新されましたので、以下をご参照ください。
https://change.sos-berlin.com/browse/JOC-1184

2021/12/16 更新

以下の対策は不完全であるため、log4j 2.16へのアップデートが推奨されています。

V.1.13系について回避策には以下の2通りの方法があります。JS7については上記リンクをご参照ください。

(1)Log4jを実行するJava仮想マシンを起動時に「log4j2.formatMsgNoLookups」というJVMフラグオプションを「true」に指定する

例: -Dlog4j2.formatMsgNoLookups=true

  • マスター:SCHEDULER_DATA/config/factory.iniを編集し
[java]
options =に、-Dlog4j2.formatMsgNoLookups=true を追加してマスター再起動

再起動後にscheduler.logのJava options: に[-Dlog4j2.formatMsgNoLookups=true]が表示されればOK

  • エージェント:一旦停止し、
$ SCHEDULER_HOME/bin/agent_<port>.sh | .cmd   start -java-options=-Dlog4j2.formatMsgNoLookups=true

で再起動、systemd service などで自動起動設定している場合は、ExecStart=のコマンドに-java-options=-Dlog4j2.formatMsgNoLookups=trueを追加して、サービスリスタート

  • JOCコックピット:
Linuxの場合/etc/default/joc、
Windowsの場合 、レジストリ
HKLM\SOFTWARE\WOW6432Node\Apache Software Foundation\Procrun 2.0\sos_joc\Parameters\Java

を編集し、JAVA_OPTIONS=に-Dlog4j2.formatMsgNoLookups=trueを追加して、サービス再起動

参考:https://kb.sos-berlin.com/display/PKB/JOC+Cockpit+-+Installation#JOCCockpit-Installation-JavaOptionsforJetty

(2)Log4jライブラリを対策済みの2.16に入れ替える

  • マスター
    • 1.13.3
    • 以下ファイルを削除: 
      • SCHEDULER_HOME/lib/3rd-party
        • log4j-api-2.13.0.jar
        • log4j-core-2.13.0.jar
      • SCHEDULER_HOME/lib/log/log4j
        • log4j-slf4j-impl-2.13.0.jar
    • 1.13.4 to 1.13.8
    • 以下ファイルを削除:  
      • SCHEDULER_HOME/lib/3rd-party
        • log4j-api-2.13.2.jar
        • log4j-core-2.13.2.jar
      • SCHEDULER_HOME/lib/log/log4j
        • log4j-slf4j-impl-2.13.2.jar
    •  1.13.9
    • 以下ファイルを削除:  
      • CHEDULER_HOME/lib/3rd-party
        • log4j-api-2.14.0.jar
        • log4j-core-2.14.0.jar
      • SCHEDULER_HOME/lib/log/log4j
        • log4j-slf4j-impl-2.14.0.jar
    • 全バージョン
    • 以下ファイルをコピー: 
      •  SCHEDULER_HOME/lib/3rd-party
        • log4j-api-2.16.0.jar
        • log4j-core-2.16.0.jar
      • SCHEDULER_HOME/lib/log/log4j
        • log4j-slf4j-impl-2.16.0.jar
  • エージェント
    • 1.13.3
    • 以下ファイルを削除:   
      • SCHEDULER_HOME/lib/3rd-party
        • log4j-api-2.13.0.jar
        • log4j-core-2.13.0.jar
      • SCHEDULER_HOME/lib/log/log4j
        • log4j-slf4j-impl-2.13.0.jar
    • 1.13.4 to 1.13.8
    • 以下ファイルを削除:   
      • SCHEDULER_HOME/lib/3rd-party
        • log4j-api-2.13.2.jar
        • log4j-core-2.13.2.jar
      • SCHEDULER_HOME/lib/log/log4j
        • log4j-slf4j-impl-2.13.2.jar
    • 1.13.9
    • 以下ファイルを削除:   
      • SCHEDULER_HOME/lib/3rd-party
        • log4j-api-2.14.0.jar
        • log4j-core-2.14.0.jar
      • SCHEDULER_HOME/lib/log/log4j
        • log4j-slf4j-impl-2.14.0.jar
    • 全バージョン
    • 以下ファイルをコピー:
      • SCHEDULER_HOME/lib/3rd-party
        • log4j-api-2.16.0.jar
        • log4j-core-2.16.0.jar
      • SCHEDULER_HOME/lib/log/log4j
        • log4j-slf4j-impl-2.16.0.jar
  • JOCコックピット

【注意喚起】Apache Log4jの任意のコード実行の脆弱性(CVE-2021-44228)について(SOS JobScheduler)

2021/12/11 JPCERT/CCよりApache Log4jの任意のコード実行の脆弱性(CVE-2021-44228)に関する注意喚起が発表されています。
脆弱性の詳細については、以下をご参照ください。
https://www.jpcert.or.jp/at/2021/at210050.html?fbclid=IwAR3C6fagYLZiE7WGEbl8_Y6EB_i_5D7BLdSKUAHQnDnoSXFveRHx6apEO1w

対象となるバージョンは、Apache Log4j 2.15.0より前の2系のバージョンであり、旧1系は含まれていません。
SOS JobSchedulerでは以下のバージョンが上記対象ライブラリを含んでいます。
V.1.12.12〜V.1.12.14
V.1.13.3〜V.1.13.9
V.2.0.0〜V.2.1.1

対策
The Apache Software Foundationから本脆弱性を修正したApache Log4j V.2.15.0が公開されています。
SOS社では現在上記修正版を含んだ緊急リリース(V.1.13.10, V.2.2.0)及びパッチを作成中であり、2021/12/24に公開予定です。
回避策については、以下をご参照ください。
https://change.sos-berlin.com/browse/JOC-1184

JobSchedulerは問題のあるlog4jのLDAP JNDI perserと呼ばれる機能は使用しておりませんが、バージョンアップや回避策の適用などの実施を検討することを推奨します。

JS7® JobScheduler V.2.1.1公開

JS7® JobScheduler V.2.1.1がリリースされました。

今回のリリースは、V.2.1のメンテナンスリリースであり、バグフィックスと以下の機能が追加されました。

詳細は以下をご参照ください
https://kb.sos-berlin.com/display/PKB/Release+2.1.1

ダウンロード
https://www.sos-berlin.com/en/jobscheduler-downloads

オンラインデモはこちらからお申込できます。
https://www.sos-berlin.com/en/try-out

ジョブ管理 JS7®JobScheduler
https://www.ossl.co.jp/