Log4j
Vérifiez votre dossier d'installation pour log4j, puis voyez si votre version installée trouve de tels fichiers.
Ces fichiers sont adressés à 2 endroits dans le logiciel:
- avec le Datamanagement Tool EDM
- avec la fonction Place > Search Providers dans OrCAD Capture
Pour la version 17.2 s’applique
Le hotfix 080 de l’ISR est maintenant disponible sur downloads.cadence.com. Il s’agit de la correction permanente recommandée pour TOUTES les installations du logiciel 17.2. Cet ISR supprime toutes les classes log4j incriminées, de sorte que les attaques de type « zero-day » et « denial of service » ne constituent plus une menace.
REMARQUE : Apache a publié log4j v2.17, qui n'est pas arrivé à temps pour être inclus dans ISR080. Pour atténuer le problème, l'ISR080 a été purgé de toutes les classes incriminées dans log4j, de sorte qu'aucune vulnérabilité n'existe, MAIS certains scanners peuvent encore signaler la version de log4j puisqu'elle est basée sur la v2.16 et PAS la v2.17. ISR081, qui sera publié en janvier 2022, sera basé sur log4j v2.17, ce qui signifie que les scanners ne signaleront plus le logiciel Cadence comme une faille de sécurité potentielle. Il est important de comprendre que l'ISR080 supprime complètement la vulnérabilité. Il n'y a donc aucune raison d'attendre l'ISR081, qui supprimera simplement les faux positifs signalés par les scanners.
Pour la version 17.4 s’applique
Le hotfix 025 de l’ISR est maintenant disponible sur downloads.cadence.com.
Il s’agit de la correction permanente recommandée pour TOUTES les installations du logiciel 17.4.
Cet ISR supprime toutes les classes log4j incriminées, de sorte que les attaques de
type « zero-day » et « denial of service » ne constituent plus une menace.
REMARQUE : Apache a publié log4j v2.17, qui n'est pas arrivé à temps pour être inclus dans ISR025.
Pour atténuer le problème, l'ISR025 a été purgé de toutes les classes incriminées dans log4j, de sorte
qu'aucune vulnérabilité n'existe, MAIS certains scanners peuvent encore signaler la version de log4j
puisqu'elle est basée sur la v2.16 et PAS la v2.17. ISR026, qui sera publié en janvier 2022, sera basé sur log4j v2.17,
ce qui signifie que les scanners ne signaleront plus le logiciel Cadence comme une faille de
sécurité potentielle. Il est important de comprendre que l'ISR025 supprime complètement la vulnérabilité.
Il n'y a donc aucune raison d'attendre l'ISR026, qui supprimera simplement les faux positifs signalés par les scanners.
More Information from Cadence on log4j
Correction manuelle pour les versions 16.6, 17.2 et 17.4
Veuillez contacter le support FlowCAD.
