jobscheduler – ページ 5 – OSS Laboratories, Inc.

Apache Log4j2 バージョン 2.0-beta7 から 2.17.0 (セキュリティフィックスリリース 2.3.2 と 2.12.4 を除く) には、リモートコード実行 (RCE) 攻撃の脆弱性があり、ロギング設定ファイルを変更する権限を持つ攻撃者が、JNDI URI を参照するデータソースを使って JDBC Appender で不正な設定を行い、リモートコードを実行できるようになってしまいます。この問題は、Log4j2 のバージョン 2.17.1, 2.12.4, 2.3.2 において、JNDI データソース名を java プロトコルに制限することで修正されます。

Apache Log4j Security Vulnerabilities
Fixed in Log4j 2.17.1 (Java 8)
https://logging.apache.org/log4j/2.x/security.html#log4j-2.17.1

JobScheduler V.1.13.10, V.2.2.0以降では設定ファイルlog4j2.xmlのデフォルト設定から、JDBC Appenderを使用するよう変更していない限り、CVE-2021-42832の影響を受ける可能性はないと考えていますが、下記が公開されましたのでご確認ください。

Update log4j2 2.17.1 to 2.17.1 due to 3rd party vulnerability issue in log4j2 2.17.0 (CVE-2021-44832)

https://change.sos-berlin.com/browse/JOC-1192?src=confmacro

2021年12月27日

JS7® JobScheduler V.2.2.0公開

JS7® JobScheduler V.2.2.0がリリースされました。

今回のリリースは、Apache Log4jの任意のコード実行の脆弱性（CVE-2021-45105, CVE-2021-44228, CVE-2021-45046）の対応（log4j 2.17.0へのアップデート）に加え、下記の新機能追加とバグフィックスを含んでいますので、アップデートを強く推奨します。

HashiCorp Vault® シークレット管理のサポート
通知機能の強化

詳細は以下をご参照ください
https://kb.sos-berlin.com/display/PKB/Release+2.2.0

ダウンロード
https://www.sos-berlin.com/en/jobscheduler-downloads

※Postgresご使用の場合は以下のパッチ適用が必要です。

https://change.sos-berlin.com/browse/JOC-1191

パッチ適用方法は以下の通りです。

1. JOCの停止

2. JOC Patchの適用

a. joc_patch_20211224_JOC-1146-login.zipを /home/scheduler/sos-berlin.com/js7/joc/patches にコピーし、

b. $ java -jar /home/scheduler/sos-berlin.com/js7/joc/patches/bin/patch-executor-2.2.0.jar

を実行

オンラインデモはこちらからお申込できます。
https://www.sos-berlin.com/en/try-out

ジョブ管理 JS7®JobScheduler
https://www.ossl.co.jp/

2021年12月21日

JS7® JobSchedulerワークフロー間連携記事公開しました

JS7®JobSchedulerは独SOS社(Software- und Organisations-Service GmbH)によって開発されている、ジョブ管理システムです。
OSSジョブ管理ツールの定番JobSchedulerをリニューアルし、従来より耐障害性、大規模環境対応を強化し、ミッションクリティカルな要求に対応しています。
本記事では、JS7®JobSchedulerで異なるワークフロー間で連携する実行する方法までを記載しています。

https://qiita.com/satoruf/items/64b185880f4ac0e05c5d

オンラインデモはこちらからお申込できます。
https://www.sos-berlin.com/en/try-out

ジョブ管理 JS7®JobScheduler
https://www.ossl.co.jp/

2021年12月20日2021年12月21日

【続々報】Apache Log4jの任意のコード実行の脆弱性（CVE-2021-45105）について（SOS JobScheduler）

2021/12/18

Apache Log4jの任意のコード実行の脆弱性について、新たな脆弱性が発見されCVE-2021-45105として公開されました。

自己参照による制御不能な再帰から保護されていないことに起因し、Log4jの設定によっては影響を受けるサービス運用妨害攻撃の可能性を修正したlog4j 2.17が公開されています。

Apache Log4j Security Vulnerabilities
Fixed in Log4j 2.17.0 (Java 8)
https://logging.apache.org/log4j/2.x/security.html#log4j-2.17.0

JobScheduler V.1.13.10以降では設定ファイルlog4j2.xmlのデフォルト設定を変えていない限り、CVE-2021-45105の影響を受ける可能性は低いと考えていますが、下記対応策が公開されましたのでご確認ください。

JOC-1188　Update log4j2 2.16.0 to 2.17.0 due to 3rd party vulnerability issue in log4j2 2.16.0 (CVE-2021-45105)
https://change.sos-berlin.com/browse/JOC-1188?jql=text%20~%20%22log4j2%22

対応策：Log4jライブラリを対策済みの2.16/2.17に入れ替える

マスター
- 1.13.3：以下ファイルを削除:
  - SCHEDULER_HOME/lib/3rd-party
    - log4j-api-2.13.0.jar
    - log4j-core-2.13.0.jar
  - SCHEDULER_HOME/lib/log/log4j
    - log4j-slf4j-impl-2.13.0.jar
- 1.13.4 to 1.13.8：以下ファイルを削除:
  - SCHEDULER_HOME/lib/3rd-party
    - log4j-api-2.13.2.jar
    - log4j-core-2.13.2.jar
  - SCHEDULER_HOME/lib/log/log4j
    - log4j-slf4j-impl-2.13.2.jar
- 1.13.9：以下ファイルを削除:
  - SCHEDULER_HOME/lib/3rd-party
    - log4j-api-2.14.0.jar
    - log4j-core-2.14.0.jar
  - SCHEDULER_HOME/lib/log/log4j
    - log4j-slf4j-impl-2.14.0.jar
- 1.13.10：以下ファイルを削除:
  - SCHEDULER_HOME/lib/3rd-party
    - log4j-core-2.16.0.jar
- 1.13.3 - 1.13.9：以下ファイルをコピー:
  - SCHEDULER_HOME/lib/3rd-party
    - log4j-api-2.16.0.jar
    - log4j-core-2.17.0.jar
  - SCHEDULER_HOME/lib/log/log4j
    - log4j-slf4j-impl-2.16.0.jar
- 1.13.10：以下ファイルをコピー:
  - SCHEDULER_HOME/lib/3rd-party
    - log4j-core-2.17.0.jar
エージェント
- 1.13.3：以下ファイルを削除:
  - SCHEDULER_HOME/lib/3rd-party
    - log4j-api-2.13.0.jar
    - log4j-core-2.13.0.jar
  - SCHEDULER_HOME/lib/log/log4j
    - log4j-slf4j-impl-2.13.0.jar
- 1.13.4 to 1.13.8：以下ファイルを削除:
  - SCHEDULER_HOME/lib/3rd-party
    - log4j-api-2.13.2.jar
    - log4j-core-2.13.2.jar
  - SCHEDULER_HOME/lib/log/log4j
    - log4j-slf4j-impl-2.13.2.jar
- 1.13.9：以下ファイルを削除:
  - SCHEDULER_HOME/lib/3rd-party
    - log4j-api-2.14.0.jar
    - log4j-core-2.14.0.jar
  - SCHEDULER_HOME/lib/log/log4j
    - log4j-slf4j-impl-2.14.0.jar
- 1.13.10：以下ファイルを削除:
  - SCHEDULER_HOME/lib/3rd-party
    - log4j-core-2.16.0.jar
- 1.13.3 - 1.13.9：以下ファイルをコピー:
  - SCHEDULER_HOME/lib/3rd-party
    - log4j-core-2.17.0.jar
    - log4j-api-2.16.0.jar
  - SCHEDULER_HOME/lib/log/log4j
    - log4j-slf4j-impl-2.16.0.jar
- 1.13.10：以下ファイルをコピー:
  - SCHEDULER_HOME/lib/3rd-party
    - log4j-core-2.17.0.jar
JOCコックピット
- 1.13.3-1.13.10用のパッチを以下リンクからダウンロード
  - JOCコックピットを停止し
  - JETTY_BASE/webapps/joc.warをダウンロードしたものに入れ替え後、再起動
- Patch for 1.13.3: https://download.sos-berlin.com/JobScheduler.1.13/1.13.3/joc.war
- Patch for 1.13.4: https://download.sos-berlin.com/JobScheduler.1.13/1.13.4/joc.war
- Patch for 1.13.5: https://download.sos-berlin.com/JobScheduler.1.13/1.13.5/joc.war
- Patch for 1.13.6: https://download.sos-berlin.com/JobScheduler.1.13/1.13.6/joc.war
- Patch for 1.13.7: https://download.sos-berlin.com/JobScheduler.1.13/1.13.7/joc.war
- Patch for 1.13.8: https://download.sos-berlin.com/JobScheduler.1.13/1.13.8/joc.war
- Patch for 1.13.9: https://download.sos-berlin.com/JobScheduler.1.13/1.13.9/joc.war
- Patch for 1.13.10: https://download.sos-berlin.com/JobScheduler.1.13/1.13.10/joc.war

2021年12月20日2021年12月20日

JobScheduler V.1.13.10公開

JobScheduler V.1.13.10がリリースされました。

今回のリリースは、Apache Log4jの任意のコード実行の脆弱性（CVE-2021-44228, CVE-2021-45046）の対応に加え、多数のバグフィックスを含んでいますので、アップデートを強く推奨します。

詳細は以下をご参照ください
https://kb.sos-berlin.com/display/PKB/Release+1.13.10

関連する脆弱性については以下をご参照ください

https://kb.sos-berlin.com/display/PKB/Vulnerability+Release+1.13.10

ダウンロード
https://www.sos-berlin.com/en/jobscheduler-downloads

オンラインデモはこちらからお申込できます。
https://www.sos-berlin.com/en/try-out

ジョブ管理 JS7®JobScheduler
https://www.ossl.co.jp/

2021年12月14日2021年12月16日

【続報】Apache Log4jの任意のコード実行の脆弱性（CVE-2021-44228）について（SOS JobScheduler）

2021/12/16 更新

JPCERT/CCよりApache Log4jの任意のコード実行の脆弱性（CVE-2021-44228）に関する注意喚起が更新されCVE-2021-45046について追記されました。

特定の構成において不正なJNDI検索パターンを入力値とする場合にサービス運用妨害（DoS）が生じる可能性があることが判明し、Message Lookup機能が削除され、JNDIへのアクセスがデフォルトで無効になりました。この問題にはCVE-2021-45046が採番されています

llog4j 2.15及び下記対策は不完全であり、log4j 2.16へのアップデートが推奨されています。
（1）Log4jを実行するJava仮想マシンを起動時に「log4j2.formatMsgNoLookups」というJVMフラグオプションを「true」に指定する例: -Dlog4j2.formatMsgNoLookups=true
（2）環境変数「LOG4J_FORMAT_MSG_NO_LOOKUPS」を「true」に設定する。

JobSchedulerの回避策も更新されましたので、以下をご確認ください。
https://change.sos-berlin.com/browse/JOC-1184

https://change.sos-berlin.com/browse/JOC-1186

2021/12/14

SOS社では現在上記修正版を含んだ緊急リリース（V.1.13.10, V.2.2.0）を作成中であり、2021/12/24に公開予定です。
回避策が更新されましたので、以下をご参照ください。
https://change.sos-berlin.com/browse/JOC-1184

2021/12/16 更新

以下の対策は不完全であるため、log4j 2.16へのアップデートが推奨されています。

~~V.1.13系について回避策には以下の2通りの方法があります。JS7については上記リンクをご参照ください。~~

~~（1）Log4jを実行するJava仮想マシンを起動時に「log4j2.formatMsgNoLookups」というJVMフラグオプションを「true」に指定する~~

~~例: -Dlog4j2.formatMsgNoLookups=true~~

~~マスター：SCHEDULER_DATA/config/factory.iniを編集し~~

[java]
options =に、-Dlog4j2.formatMsgNoLookups=true　を追加してマスター再起動

~~再起動後にscheduler.logのJava options: に[-Dlog4j2.formatMsgNoLookups=true]が表示されればOK~~

~~エージェント：一旦停止し、~~

$ SCHEDULER_HOME/bin/agent_<port>.sh | .cmd　  start -java-options=-Dlog4j2.formatMsgNoLookups=true

で再起動、systemd service などで自動起動設定している場合は、ExecStart=のコマンドに-java-options=-Dlog4j2.formatMsgNoLookups=trueを追加して、サービスリスタート

~~JOCコックピット：~~

Linuxの場合/etc/default/joc、

Windowsの場合 、レジストリ
HKLM\SOFTWARE\WOW6432Node\Apache Software Foundation\Procrun 2.0\sos_joc\Parameters\Java

~~を編集し、JAVA_OPTIONS=に-Dlog4j2.formatMsgNoLookups=trueを追加して、サービス再起動~~

~~参考：https://kb.sos-berlin.com/display/PKB/JOC+Cockpit+-+Installation#JOCCockpit-Installation-JavaOptionsforJetty~~

（2）Log4jライブラリを対策済みの2.16に入れ替える

マスター
- 1.13.3
- 以下ファイルを削除:
  - SCHEDULER_HOME/lib/3rd-party
    - log4j-api-2.13.0.jar
    - log4j-core-2.13.0.jar
  - SCHEDULER_HOME/lib/log/log4j
    - log4j-slf4j-impl-2.13.0.jar
- 1.13.4 to 1.13.8
- 以下ファイルを削除:
  - SCHEDULER_HOME/lib/3rd-party
    - log4j-api-2.13.2.jar
    - log4j-core-2.13.2.jar
  - SCHEDULER_HOME/lib/log/log4j
    - log4j-slf4j-impl-2.13.2.jar
- 1.13.9
- 以下ファイルを削除:
  - CHEDULER_HOME/lib/3rd-party
    - log4j-api-2.14.0.jar
    - log4j-core-2.14.0.jar
  - SCHEDULER_HOME/lib/log/log4j
    - log4j-slf4j-impl-2.14.0.jar
- 全バージョン
- 以下ファイルをコピー:
  - SCHEDULER_HOME/lib/3rd-party
    - log4j-api-2.16.0.jar
    - log4j-core-2.16.0.jar
  - SCHEDULER_HOME/lib/log/log4j
    - log4j-slf4j-impl-2.16.0.jar
エージェント
- 1.13.3
- 以下ファイルを削除:
  - SCHEDULER_HOME/lib/3rd-party
    - log4j-api-2.13.0.jar
    - log4j-core-2.13.0.jar
  - SCHEDULER_HOME/lib/log/log4j
    - log4j-slf4j-impl-2.13.0.jar
- 1.13.4 to 1.13.8
- 以下ファイルを削除:
  - SCHEDULER_HOME/lib/3rd-party
    - log4j-api-2.13.2.jar
    - log4j-core-2.13.2.jar
  - SCHEDULER_HOME/lib/log/log4j
    - log4j-slf4j-impl-2.13.2.jar
- 1.13.9
- 以下ファイルを削除:
  - SCHEDULER_HOME/lib/3rd-party
    - log4j-api-2.14.0.jar
    - log4j-core-2.14.0.jar
  - SCHEDULER_HOME/lib/log/log4j
    - log4j-slf4j-impl-2.14.0.jar
- 全バージョン
- 以下ファイルをコピー:
  - SCHEDULER_HOME/lib/3rd-party
    - log4j-api-2.16.0.jar
    - log4j-core-2.16.0.jar
  - SCHEDULER_HOME/lib/log/log4j
    - log4j-slf4j-impl-2.16.0.jar
JOCコックピット
- 1.13.3-1.13.9用のパッチが提供されています。
  - JOCコックピットを停止し
  - JETTY_BASE/webapps/joc.warを以下リンクからダウンロードしたものに入れ替え後、再起動
- Patch for 1.13.3: https://download.sos-berlin.com/JobScheduler.1.13/1.13.3/joc.war
- Patch for 1.13.4: https://download.sos-berlin.com/JobScheduler.1.13/1.13.4/joc.war
- Patch for 1.13.5: https://download.sos-berlin.com/JobScheduler.1.13/1.13.5/joc.war
- Patch for 1.13.6: https://download.sos-berlin.com/JobScheduler.1.13/1.13.6/joc.war
- Patch for 1.13.7: https://download.sos-berlin.com/JobScheduler.1.13/1.13.7/joc.war
- Patch for 1.13.8: https://download.sos-berlin.com/JobScheduler.1.13/1.13.8/joc.war
- Patch for 1.13.9: https://download.sos-berlin.com/JobScheduler.1.13/1.13.9/joc.war

2021年12月13日2021年12月13日

【注意喚起】Apache Log4jの任意のコード実行の脆弱性（CVE-2021-44228）について（SOS JobScheduler）

2021/12/11　JPCERT/CCよりApache Log4jの任意のコード実行の脆弱性（CVE-2021-44228）に関する注意喚起が発表されています。
脆弱性の詳細については、以下をご参照ください。
https://www.jpcert.or.jp/at/2021/at210050.html?fbclid=IwAR3C6fagYLZiE7WGEbl8_Y6EB_i_5D7BLdSKUAHQnDnoSXFveRHx6apEO1w

対象となるバージョンは、Apache Log4j 2.15.0より前の2系のバージョンであり、旧1系は含まれていません。
SOS JobSchedulerでは以下のバージョンが上記対象ライブラリを含んでいます。
V.1.12.12〜V.1.12.14
V.1.13.3〜V.1.13.9
V.2.0.0〜V.2.1.1

対策
The Apache Software Foundationから本脆弱性を修正したApache Log4j V.2.15.0が公開されています。
SOS社では現在上記修正版を含んだ緊急リリース（V.1.13.10, V.2.2.0）及びパッチを作成中であり、2021/12/24に公開予定です。
回避策については、以下をご参照ください。
https://change.sos-berlin.com/browse/JOC-1184

JobSchedulerは問題のあるlog4jのLDAP JNDI perserと呼ばれる機能は使用しておりませんが、バージョンアップや回避策の適用などの実施を検討することを推奨します。

2021年11月30日2021年11月30日

JS7® JobScheduler V.2.1.1公開

JS7® JobScheduler V.2.1.1がリリースされました。

今回のリリースは、V.2.1のメンテナンスリリースであり、バグフィックスと以下の機能が追加されました。

スクリプトインクルード機能の追加 JS7 - Script Includes
JITLジョブの追加 JS7 - Job Templates

詳細は以下をご参照ください
https://kb.sos-berlin.com/display/PKB/Release+2.1.1

ダウンロード
https://www.sos-berlin.com/en/jobscheduler-downloads

オンラインデモはこちらからお申込できます。
https://www.sos-berlin.com/en/try-out

ジョブ管理 JS7®JobScheduler
https://www.ossl.co.jp/