Mue_InUse processus cesse de répondre sur les systèmes Linux/macOS/MLOS, consommant 100% de processeur

Articles techniques ID: KB95203
Date de la dernière modification : 01/07/2022

Environnement

Advanced Threat Defense (ATD) 4.x
Data Exchange Layer (DXL) 6.x , 5.x
McAfee Agent (MA) 5.x
Endpoint Security for Linux Prévention contre les menaces (ENSLTP) 10.7.x , 10.6.x
Endpoint Security pour Mac (ENSM) Prévention contre les menaces 10.7.x , 10.6.x
Serveur 3.x Threat Intelligence Exchange (tie), 2.x

Prise en charge des systèmes d’exploitation
AMCore Linux/MacOS/MLOS Systems version v3 content version 4683

Problème 1

Vous observez les éléments suivants sur votre système Linux :

Le processus cesse de Mue_InUse répondre.
Le processus utilise finalement 100% de processeur.

Les erreurs ci-dessous s’affichent dans le McScript.log fichier ( /Var/McAfee/agent/logs/ ) :

[ScrptExe] [E] [Executing section ExecuteDetectionScript]->
[ScrptExe] [E] [Line 626: RunScript dwRet = /var/McAfee/agent/update/Current/AMCORDAT2000/amcore.mcs, ScriptMain]->
[CmdPrsr] [E] Parse error line 350 column 36: Unexpected empty value
[CmdPrsr] [E] Error trace:
[Log] [E] [Main thread]->
[SessMgr] [E] [SessionManager::runScript:/var/McAfee/agent/update/UpdateMain.McS]->
[ScrptExe] [E] [Executing section ScriptMain]->
[ScrptExe] [E] [CallIf]->
[ScrptExe] [E] [Executing section StartUpdateProcess]->

Vous constatez que le Mue_InUse processus ne répond pas. Vous devez mettre fin au processus pour restaurer sa fonction. Le processeur approche 100% :

Mue_InUse process approaches 100% CPU

Problème 2

La mise à jour du contenu MEDDAT échoue sur votre système macOS :

Les erreurs ci-dessous s’affichent dans le McScript.log fichier ( /var/McAfee/agent/logs/ ) :

[ScrptExe] [E] [Line 626: RunScript dwRet = /var/McAfee/agent/update/Current/AMCORDAT2000/amcore.mcs, ScriptMain]->
[CmdPrsr] [E] Parse error line 350 column 36: Unexpected empty value
[CmdPrsr] [E] Error trace:
[Log] [E] [Main thread]->
[SessMgr] [E] [SessionManager::runScript:/var/McAfee/agent/update/UpdateMain.McS]->
[ScrptExe] [E] [Executing section ScriptMain]->
[ScrptExe] [E] [CallIf]->
[ScrptExe] [E] [Executing section StartUpdateProcess]->
[ScrptExe] [E] [Call]->
[ScrptExe] [E] [Executing section DetectInstalledProductsAndUpdate]->
[ScrptExe] [E] [Call]->
[ScrptExe] [E] [Executing section GetDetectionScripts]->
[ScrptExe] [E] [Call]->
[ScrptExe] [E] [Executing section FindAndExecuteDetectionScripts]->
[ScrptExe] [E] [LoopIf]->
[ScrptExe] [E] [Executing section EnumerateThroughProductIDList]->
[ScrptExe] [E] [LoopIf]->
[ScrptExe] [E] [Executing section EnumerateThroughFile]->
[ScrptExe] [E] [Call]->
[ScrptExe] [E] [Executing section ExecuteDetectionScript]->
[ScrptExe] [E] [Line 626: RunScript dwRet = /var/McAfee/agent/update/Current/AMCORDAT2000/amcore.mcs, ScriptMain]->
[CmdPrsr] [E] Parse error line 350 column 36: Unexpected empty value
[CmdPrsr] [E] Error trace:

Problème 3

Lorsque le système consigne l' Parse error line 350 column 36: Unexpected empty value erreur, il peut également McScript.log consommer plus d’espace disque que ce qui est configuré dans la stratégie McAfee Agent. Le processus n’exécute pas la log rotate commande et consomme de l’espace disque tant que le système n’est pas redémarré ou que le Mue_InUse processus n’est pas terminé.

Cause

Les symptômes proviennent des modifications de la AMCore production apportées au contenu package, où le déploiement script ( extradat.mcs ) a été mis à jour pour inclure la Extra.DAT prise en charge des plates-formes non-Windows.

De même si les systèmes Linux et macOS n’utilisent AMCore pas de contenu, la manière dont les mises à jour ont été déployées signifiait que la McAfee Agent exécutait la script de mise à jour de contenu pour AMCORDAT2000 sur ces plates-formes. Différence de comportement entre les plates-formes Windows et non-Windows lors de l’analyse syntaxique du script entraînait une erreur pour les systèmes non-Windows uniquement. Dans ce cas, le comportement du moteur de script est de réessayer d’exécuter la script. Ce comportement créait une boucle logique provoquant le symptôme élevé du processeur du Mue_InUse processus.

Solution

Ce problème est résolu dans la version 4684 du AMCore contenu.

IMPORTANT :

La version de contenu 4684 ne met pas fin aux sessions qui peuvent encore être en cours d' Mue_InUse exécution.
La version de contenu 4684 arrête les erreurs détectées dans cet article sur toutes les tâches créées dont le contenu est AMCore sélectionné dans une tâche de mise à jour.

Remarque : De par sa conception, le Mue_InUse processus a la sigkill commande codée en dur et se termine automatiquement au bout de six heures. Vous pouvez donc décider d’attendre que le processus Mue_InUse soit arrêté.

Configurez la tâche de mise à jour pour installer uniquement le composant et, le cas échéant, Endpoint Security prévention contre les MEDDATexploits Linux contenu.

Actions dans la console ePO :

Connectez-vous à la console ePO.
Sélectionnez le groupe respectif dans lequel le système doit générer des rapports.
Cliquez sur tâches client affectées, puis modifiez les tâches de mise à jour des produits .
Désélectionnez l' AMCORE option pour les systèmes sur lesquels Linux/MacOS/MLOS systèmes d’exploitation dans le groupe.
Enregistrez la tâche.
Pour appliquer les modifications, envoyez l’appel de réactivation à tous les systèmes.

IMPORTANT : Désactivez toutes les tâches de mise à jour de contenu activées à partir de la console ePO. Veillez à ce que ces tâches soient désactivées jusqu’à ce que le contenu ait été mis à jour ( AMCore version 4684 ) et que le Mue_InUse problème de processus ait été atténué.

Résolution 1

Arrêtez le Mue_Inuse processus sur le client.

Actions sur le problème Linux/macOS/MLOS système :

Connectez-vous au système à l’origine du problème à l’aide de SSH avec l’utilisateur racine.
Pour déterminer les processus en cours d’exécution sur le système, exécutez la top commande suivante :

-bash-4.1# top

Sortie

PID USER PR NI VIRT RES SHR S %CPU %MEM TIME+ COMMAND
3559 root 20 0 538m 411m 9240 R 85.6 5.2 1 17:08.57 Mue_InUse
Exécutez la commande ci-dessous pour arrêter le processus existant Mue_Inuse dans l’état non réactif :

sudo pkill -f Mue_InUse

important : si la pkill commande ne parvient pas à mettre fin au processus, saisissez ce qui suit :

kill -9 <PID number of Mue_Inuse>

Exemple : kill -9 3559
Si vous avez plusieurs instances des Mue_InUse processus, saisissez ce qui suit :

killall -9 Mue_InUse

Remarque : la commande ci-dessus ferme tous les Mue_InUse processus en une seule action.

Solution script facultative :
Un .sh script est joint à cet article pour une utilisation manuelle avec un utilisateur racine.

Téléchargez le fichier killMue.zip dans la section pièces jointes de cet article.
Extrayez le contenu dans un dossier.
killMue.shCopiez sur le système à l’origine du problème.
Connectez-vous au système via SSH.
Accédez au dossier dans lequel vous avez copié le .sh fichier.

Exemple : Fichier copié vers /tmp/

Entrez la commande suivante :

[root@SGPRGC109002 tmp]# ls -ll /tmp/

Sortie :
total 41744
-rwxr-xr-x. 1 root root 90 Jan 19 17:29 killMue.sh
Pour exécuter le .sh fichier, vous devez d’abord affecter l’autorisation au fichier avant de pouvoir exécuter. Si vous n’affectez pas l’autorisation, vous recevez le message d’erreur ci-dessous :

[root@SGPRGC109002 ~]# cd /tmp/
[root@SGPRGC109002 tmp]# ./killMue.sh
-bash: ./killMue.sh: Permission denied

Remarque : par défaut, le fichier n’a pas d’autorisations d’exécution.

[root@SGPRGC109002 tmp]# ls -ll /tmp/

Sortie :
total 41744
-rw-r--r--. 1 root root 90 Jan 19 17:29 killMue.sh
Attribuez les autorisations d’exécution suivantes :

[root@SGPRGC109002 tmp]# chmod +x /tmp/killMue.sh
[root@SGPRGC109002 tmp]# ./killMue.sh
[root@SGPRGC109002 tmp]#
Pour automatiser cette procédure, utilisez un outil tiers .

Résolution 2

Si une seule instance du Mue_InUse processus est détectée, suivez les étapes ci-dessous :

Désactivez toutes les tâches de mise à jour de contenu activées à partir de la console ePO.
Mettez à jour vers le nouveau contenu du référentiel principal ePO : v2 DAT [10232], MEDDAT [4855] et v3 DAT [ 4684.0 ].
Cliquez sur toutes les tâches de mise à jour du contenu Linux.
Diffuser les tâches de mise à jour de produit pour mettre à jour le nouveau contenu sur tous les systèmes clients.

Remarque : De par sa conception, le Mue_InUse processus a la sigkill commande codée en dur et se termine automatiquement au bout de six heures. Vous pouvez donc attendre que le Mue_InUse processus soit arrêté.

Résolution 3

Si plusieurs systèmes Linux sont concernés, l' RemoteKillMue outil vous permet de tuer à distance le Mue_InUse processus à distance à partir d’un système Windows. Téléchargez le RemoteKillMue.zip fichier dans la section pièces jointes de cet article. Suivez les instructions de la partie Readme.txt .

Remarque : L’outil nécessite que SSH soit activé sur les systèmes distants, que la connexion à SSH soit autorisée et qu’ils partagent tous un mot de passe racine.

Résolution 4

Pour déterminer si McScript.log les fichiers et les sauvegardes associées consomment de l’espace une fois le Mue_InUse processus terminé, exécutez la commande suivante. La commande répertorie McAfee Agent fichiers journaux et leurs tailles respectives :

ls -lh /var/McAfee/Agent/logs

Si les fichiers sont plus volumineux que ce qui a été défini dans la stratégie McAfee Agent, vous pouvez supprimer les fichiers et redémarrer le service McAfee Agent ou redémarrer le système.

Exemple de commande pour supprimer le fichier en cours McScript.log :
Remarque : vous devez disposer d’un accès racine pour effectuer ces actions. Sur les systèmes MLOS (TIE ou DXL), il se peut que le compte de service ne puisse pas supprimer les fichiers.

Pour Linux :

sudo rm -rf /var/McAfee/agent/logs/McScript.log

Pour MLOS :

[mcafee@mcafee~]#su
Mot de passe :
bash- 4.1 #rm -rf /var/McAfee/agent/logs/McScript.log

Remarque : entrez le mot de passe racine lorsque vous y êtes invité.

Reportez-vous aux articles suivants pour McAfee Agent les commandes de service :

Pour McAfee Agent commandes service sur Linux/MLOS, consultez : KB52707-McAfee Agent commutateurs de ligne de commande.
Pour McAfee Agent les commandes de service sur macOS, reportez -vous à l’adresse : KB83950-How to start and stop the McAfee Agent services sur Mac OS X 10.10 et versions ultérieures.

Résolution 5

Advanced Threat Defense
Le privilège racine est restreint sur ATD. Ainsi, pour résoudre les problèmes sur ATD, vous avez deux options :

Appliquez un packageable d’installation.
Ouvrir une demande de service et demander une session à distance.

IMPORTANT : Après avoir suivi l’une des options ci-dessus, assurez-vous de mettre à jour la tâche de mise à jour des produits dans ePO conformément à la section solution.

Application d’un packageable d’installation :
Recherchez une package dans la section des pièces jointes de cet article, ce qui met fin au processus en rotation Mue_InUse et supprimez les journaux.

atdpatch_MueInuse.zipTéléchargez et extrayez le fichieratdpatch_MueInuse.msu.
Charger atdpatch_MueInuse.msu (au format . msu ) sur ATD à l’aide du atdadmin compte.
Connectez-vous à l’interface de ligne de commande à l’aide cliadmin du compte et exécutez la commande suivante :

install msu atdpatch_MueInuse.msu
Lors de l’exécution, des erreurs similaires à celles ci-dessous peuvent s’afficher.

Error: job pid is not running: 2761
Error: Software Installation failed

Vous pouvez ignorer les erreurs en toute sécurité. Le format du fichier atdpatch_MueInuse.msu est spécial. Contrairement aux packages de mise à jour standard, où l’interface de ligne de commande surveille uniquement la progression de l’installation des package de mise à niveau régulière :

REMARQUE : Elle se termine dans un délai de 30 secondes.
Accédez à gestion, journaux, système dans l’interface ATD.
Vérifiez que les entrées de journal ci-dessous sont présentes. Ces journaux indiquent que le package est appliqué avec succès.

Thu Jan 27 14:06:49 IST 2022::Installing software...
Thu Jan 27 14:06:49 IST 2022::Completed software installation, please reboot the system
Redémarrez manuellement ATD à partir de l’interface de ligne de commande à l’aide de la commande reboot .

ATD s’exécute normalement après le redémarrage. Surveillez l’utilisation du processeur et l’avancement de la tâche d’analyse dans l’interface utilisateur graphique ATD.

Ouverture d’une demande de service et demande d’une session à distance

Un ingénieur Support technique peut prendre le contrôle d’une session à distance et mettre fin au processus de Mue_InUse malveillant ou supprimer les fichiers journaux volumineux.

Si vous constatez une utilisation intensive du processeur ou une utilisation élevée de l’espace disque, ouvrez une demande de service. Incluez ce numéro d’article et demandez une session à distance.

Pour créer une demande de service, Connectez-vous à ServicePortal:

Si vous êtes un utilisateur enregistré, saisissez votre ID d’utilisateur et votre mot de passe, puis cliquez sur connexion.
Si vous n’êtes pas un utilisateur enregistré, cliquez sur Enregistrer et renseignez les champs. Votre mot de passe et les instructions vous sont envoyés par e-mail.

Informations connexes

Cette section sera mise à jour si nécessaire pour répondre aux questions fréquemment posées.

Où se trouvait l’script a-t- AMCore elle été exécutée à partir de ou McAfee Agent ?
Le script fait partie du package de AMCore contenu v3. Une fois que McAfee Agent a téléchargé le script, la script est alors exécutée sur le client via le moteur script McAfee Agent ( Mue_InUse ).

Si la script a été exécutée dans McAfee Agent, comment la AMCore corriger ?
La script dans le AMCore contenu v3 a été rétablie à une version précédente.

Si le problème se trouvait dans AMCore l’emplacement d’exécution de l’script ?
Le problème se trouvait dans le AMCore script déclenchant une boucle processeur inattendue dans le moteur McAfee Agent script.

Pièce jointe 1

killMue.zip
241Bytes • < 1 minute @ broadband

Pièce jointe 2

RemoteKillMue.zip
2K • < 1 minute @ broadband

Pièce jointe 3

atdpatch_MueInuse.zip
3K • < 1 minute @ broadband

Clause d'exclusion de responsabilité

Le contenu du présent article a été rédigé en anglais. En cas de divergences entre la version anglaise et sa traduction, la version en anglais prévaut. Certaines parties de ce contenu ont été traduites par le moteur de traduction automatique de Microsoft.

Produits affectés

Advanced Threat Defense 4.8.x
Advanced Threat Defense 4.12.x
Advanced Threat Defense 4.10.x
Data Exchange Layer 6.x
Data Exchange Layer 5.x
Endpoint Security for Linux Threat Prevention 10.x
Endpoint Security Threat Prevention 10.7.x
Endpoint Security Threat Prevention 10.6.x
Known Issue/Product Defect
McAfee Agent 5.7.x
McAfee Agent 5.6.x
Threat Intelligence Exchange Server 3.x
Threat Intelligence Exchange Server 2.3.x
Threat Intelligence Exchange Server 2.2.x

Langues :

Cet article est disponible dans les langues suivantes :

English United States
Spanish Spain
French
Italian
Japanese
Portuguese Brasileiro
Chinese Simplified

Knowledge Center

Mue_InUse processus cesse de répondre sur les systèmes Linux/macOS/MLOS, consommant 100% de processeur

Environnement

Problème 1

Problème 2

Problème 3

Cause

Solution

Résolution 1

Résolution 2

Résolution 3

Résolution 4

Résolution 5

Informations connexes

Pièce jointe 1

Pièce jointe 2

Pièce jointe 3

Clause d'exclusion de responsabilité

Produits affectés

Langues :

Title

Title

Knowledge Center

Mue_InUse processus cesse de répondre sur les systèmes Linux/macOS/MLOS, consommant 100% de processeur

Environnement

Problème 1

Problème 2

Problème 3

Cause

Solution

Résolution 1

Résolution 2

Résolution 3

Résolution 4

Résolution 5

Informations connexes

Pièce jointe 1

Pièce jointe 2

Pièce jointe 3

Clause d'exclusion de responsabilité

Produits affectés

Langues :

Choisissez votre région

Title

Title