Mue_InUse processo non risponde ai sistemi Linux/macOS/MLOS, consumando la CPU 100%

Articoli tecnici ID: KB95203
Ultima modifica: 01/07/2022

Ambiente

Advanced Threat Defense (ATD) 4.x
Data Exchange Layer (DXL) 6.x , 5.x
McAfee Agent (MA) 5.x
Prevenzione delle minacce Endpoint Security for Linux (ENSLTP) 10.7.x , 10.6.x
Endpoint Security per Mac (ENSM) Prevenzione delle minacce 10.7.x , 10.6.x
Server 3.x di Threat Intelligence Exchange (tie), 2.x

Sistemi operativi
AMCore supportati Linux/MacOS/MLOS versione V3 content version 4683

Problema 1

Nel sistema Linux è possibile osservare quanto segue:

Il Mue_InUse processo non risponde.
Il processo alla fine consuma la CPU 100%.

Vengono visualizzati gli errori riportati di seguito nel McScript.log file ( /Var/McAfee/agent/logs/ ):

[ScrptExe] [E] [Executing section ExecuteDetectionScript]->
[ScrptExe] [E] [Line 626: RunScript dwRet = /var/McAfee/agent/update/Current/AMCORDAT2000/amcore.mcs, ScriptMain]->
[CmdPrsr] [E] Parse error line 350 column 36: Unexpected empty value
[CmdPrsr] [E] Error trace:
[Log] [E] [Main thread]->
[SessMgr] [E] [SessionManager::runScript:/var/McAfee/agent/update/UpdateMain.McS]->
[ScrptExe] [E] [Executing section ScriptMain]->
[ScrptExe] [E] [CallIf]->
[ScrptExe] [E] [Executing section StartUpdateProcess]->

Il Mue_InUse processo viene visualizzato in uno stato non rispondente. Per ripristinare la funzione è necessario terminare il processo. La CPU si sta avvicinando al 100%:

Mue_InUse process approaches 100% CPU

Problema 2

L'aggiornamento dei contenuti MEDDAT non riesce sul sistema macOS:

Vengono visualizzati gli errori riportati di seguito nel McScript.log file ( /var/McAfee/agent/logs/ ):

[ScrptExe] [E] [Line 626: RunScript dwRet = /var/McAfee/agent/update/Current/AMCORDAT2000/amcore.mcs, ScriptMain]->
[CmdPrsr] [E] Parse error line 350 column 36: Unexpected empty value
[CmdPrsr] [E] Error trace:
[Log] [E] [Main thread]->
[SessMgr] [E] [SessionManager::runScript:/var/McAfee/agent/update/UpdateMain.McS]->
[ScrptExe] [E] [Executing section ScriptMain]->
[ScrptExe] [E] [CallIf]->
[ScrptExe] [E] [Executing section StartUpdateProcess]->
[ScrptExe] [E] [Call]->
[ScrptExe] [E] [Executing section DetectInstalledProductsAndUpdate]->
[ScrptExe] [E] [Call]->
[ScrptExe] [E] [Executing section GetDetectionScripts]->
[ScrptExe] [E] [Call]->
[ScrptExe] [E] [Executing section FindAndExecuteDetectionScripts]->
[ScrptExe] [E] [LoopIf]->
[ScrptExe] [E] [Executing section EnumerateThroughProductIDList]->
[ScrptExe] [E] [LoopIf]->
[ScrptExe] [E] [Executing section EnumerateThroughFile]->
[ScrptExe] [E] [Call]->
[ScrptExe] [E] [Executing section ExecuteDetectionScript]->
[ScrptExe] [E] [Line 626: RunScript dwRet = /var/McAfee/agent/update/Current/AMCORDAT2000/amcore.mcs, ScriptMain]->
[CmdPrsr] [E] Parse error line 350 column 36: Unexpected empty value
[CmdPrsr] [E] Error trace:

Problema 3

Mentre il sistema registra l' Parse error line 350 column 36: Unexpected empty value errore, potrebbe anche causare McScript.log l'utilizzo di più spazio su disco rispetto a quanto configurato nella policy di McAfee Agent. Il processo non esegue il log rotate comando e utilizza lo spazio su disco finché il sistema non viene riavviato o il Mue_InUse processo viene interrotto.

Causa

I sintomi derivano dalle modifiche apportate alla produzione nel pacchetto di contenuti, in AMCore cui la distribuzione script ( extradat.mcs ) è stata aggiornata per includere il Extra.DAT supporto della piattaforma non Windows.

Anche se i sistemi Linux e macOS non utilizzano AMCore il contenuto, il modo in cui gli aggiornamenti sono stati distribuiti significava che il McAfee Agent avrebbe eseguito l'aggiornamento dei contenuti script per AMCORDAT2000 su queste piattaforme. Una differenza di comportamento tra Windows e le piattaforme non Windows durante l'analisi del script ha portato a un errore per i sistemi non Windows solo. Il comportamento del motore di script in questo scenario consiste nel riprovare a eseguire il script. Questo comportamento ha creato una logica loop causando l'elevato sintomo della CPU del Mue_InUse processo.

Soluzione

Questo problema è stato risolto nella versione 4684 del AMCore contenuto.

IMPORTANTE:

La versione del contenuto 4684 non termina le Mue_InUse sessioni che potrebbero essere ancora in esecuzione.
La versione del contenuto 4684 blocca gli errori rilevati in questo articolo sulle attività create che dispongono AMCore di contenuto selezionato in un'attività di aggiornamento.

Nota: In base alla progettazione, il Mue_InUse processo ha il sigkill comando hardcoded e si interrompe autonomamente dopo sei ore. Pertanto, è possibile che si decida di attendere la cessazione del processo di Mue_InUse .

Configurare l'attività di aggiornamento per installare solo il MEDDAT componente e, se utilizzato, Endpoint Security prevenzione exploit Linux contenuto.

Azioni alla console ePO:

Accedere alla console di ePO.
Selezionare il gruppo corrispondente in cui viene segnalato il sistema.
Fare clic su attività client assegnatee modificare le attività di aggiornamento del prodotto .
Deselezionare l' AMCORE opzione per i sistemi con sistemi operativi Linux/MacOS/MLOS nel gruppo.
Salvare l'attività.
Per applicare le modifiche, inviare la chiamata di attivazione a tutti i sistemi.

IMPORTANTE: Disattivare tutte le attività di aggiornamento del contenuto attivate dalla console ePO. Mantenere queste attività disattivate fino a quando il contenuto non è stato aggiornato ( AMCore versione 4684 ) e il problema del Mue_InUse processo è stato attenuato.

Soluzione alternativa 1

Terminare il Mue_Inuse processo sul client.

Azioni sul problema Linux/macOS/MLOS System:

Connettersi al sistema di problemi utilizzando SSH con l'utente root.
Per determinare i processi in esecuzione sul sistema, eseguire il top comando:

-bash-4.1# top

Output:

PID USER PR NI VIRT RES SHR S %CPU %MEM TIME+ COMMAND
3559 root 20 0 538m 411m 9240 R 85.6 5.2 1 17:08.57 Mue_InUse
Eseguire il comando riportato di seguito per terminare il processo esistente Mue_Inuse nello stato di non risposta:

sudo pkill -f Mue_InUse

importante: se il pkill comando non riesce a terminare il processo, digitare quanto segue:

kill -9 <PID number of Mue_Inuse>

Esempio kill -9 3559
Se si dispone di più istanze dei Mue_InUse processi, digitare quanto segue:

killall -9 Mue_InUse

Nota: il comando precedente consente di chiudere tutti Mue_InUse i processi in un'unica azione.

Soluzione script facoltativa:
A questo articolo viene allegato un .sh script da utilizzare manualmente con un utente root.

Scaricare il file killMue.zip nella sezione allegati di questo articolo.
Estrarre il contenuto in una cartella.
Copiare il killMue.sh nel sistema del problema.
Connettersi al sistema tramite SSH.
Passare alla cartella in cui è stato copiato il .sh file.

Esempio: File copiato in /tmp/

Digitare il comando:

[root@SGPRGC109002 tmp]# ls -ll /tmp/

Output:
total 41744
-rwxr-xr-x. 1 root root 90 Jan 19 17:29 killMue.sh
Per eseguire il .sh file, è necessario prima assegnare l'autorizzazione al file prima di poter eseguire. Se non si assegna l'autorizzazione, viene visualizzato l'errore riportato di seguito:

[root@SGPRGC109002 ~]# cd /tmp/
[root@SGPRGC109002 tmp]# ./killMue.sh
-bash: ./killMue.sh: Permission denied

Nota: per impostazione predefinita, il file non dispone delle autorizzazioni di esecuzione.

[root@SGPRGC109002 tmp]# ls -ll /tmp/

Output:
total 41744
-rw-r--r--. 1 root root 90 Jan 19 17:29 killMue.sh
Assegnare le autorizzazioni di esecuzione:

[root@SGPRGC109002 tmp]# chmod +x /tmp/killMue.sh
[root@SGPRGC109002 tmp]# ./killMue.sh
[root@SGPRGC109002 tmp]#
Per automatizzare questa procedura, utilizzare uno strumento di terze parti .

Soluzione alternativa 2

Se viene rilevata una singola istanza del processo, attenersi alla procedura riportata di Mue_InUse seguito:

Disattivare tutte le attività di aggiornamento del contenuto attivate dalla console ePO.
Eseguire l'aggiornamento al nuovo contenuto nell'archivio principale di ePO: V2 DAT [10232], MEDDAT [4855] e V3 DAT [ 4684.0 ].
Attiva tutte le attività di aggiornamento dei contenuti Linux.
Eseguire il push delle attività di aggiornamento del prodotto per aggiornare il nuovo contenuto a tutti i sistemi client.

Nota: In base alla progettazione, il Mue_InUse processo ha il sigkill comando hardcoded e si interrompe autonomamente dopo sei ore. Pertanto, è possibile che il Mue_InUse processo venga interrotto.

Soluzione alternativa 3

Se si dispone di più sistemi Linux interessati, lo RemoteKillMue strumento può consentire l'esecuzione remota del Mue_InUse processo in remoto da un sistema di Windows. Scaricare il RemoteKillMue.zip file nella sezione allegati di questo articolo. Seguire le istruzioni riportate nel campo incluso Readme.txt .

Nota: Lo strumento richiede che i sistemi remoti dispongano di SSH attivato, che l'accesso root per SSH sia consentito e che tutti condividano Una password root.

Soluzione alternativa 4

Per determinare se McScript.log i file e i backup associati stanno consumando lo spazio dopo che il Mue_InUse processo è stato terminato, eseguire il comando riportato di seguito. Il comando elenca i file di registro McAfee Agent e le rispettive dimensioni:

ls -lh /var/McAfee/Agent/logs

Se i file sono più grandi di quelli definiti nella policy di McAfee Agent, è possibile rispostare i file e riavviare il servizio di McAfee Agent o riavviare il sistema.

Esempio di comando per rispostare il file corrente McScript.log :
Nota: per eseguire queste azioni è necessario disporre dell'accesso root. Nei sistemi MLOS (TIE o DXL), l'account del servizio potrebbe non essere in grado di eliminare i file.

Per Linux:

sudo rm -rf /var/McAfee/agent/logs/McScript.log

Per MLOS:

[mcafee@mcafee~]#su
Password:
bash- 4.1 #rm -rf /var/McAfee/agent/logs/McScript.log

Nota: immettere il password root quando richiesto.

Per i comandi di McAfee Agent Service, consultare i seguenti articoli:

Per McAfee Agent comandi del servizio su Linux/MLOS, consultare la sezione: KB52707-McAfee Agent opzioni della riga di comando.
Per i comandi di McAfee Agent Service su macOS, consultare: KB83950-come avviare e arrestare i servizi McAfee Agent in Mac OS X 10.10 e versioni successive.

Soluzione alternativa 5

Advanced Threat Defense
Il privilegio di root è limitato su ATD. Pertanto, per risolvere i sintomi presenti in ATD, sono disponibili due opzioni:

Applicare un pacchetto installabile.
Aprire una richiesta di assistenza e richiedere una sessione remota.

IMPORTANTE: Assicurarsi di aggiornare l'attività di aggiornamento del prodotto in ePO per la sezione della soluzione, dopo aver completato una delle opzioni riportate sopra.

Applicazione di un pacchetto installabile:
Trova un pacchetto nella sezione allegati di questo articolo, che interrompe il processo di filatura Mue_InUse ed Elimina i registri.

atdpatch_MueInuse.zipScaricare ed estrarre il fileatdpatch_MueInuse.msu.
Caricare atdpatch_MueInuse.msu (in formato . msu ) in ATD utilizzando l' atdadmin account.
Accedere all'interfaccia della riga di comando utilizzando cliadmin l'account ed eseguire il comando:

install msu atdpatch_MueInuse.msu
In esecuzione, è possibile che vengano visualizzati errori simili a quelli riportati di seguito.

Error: job pid is not running: 2761
Error: Software Installation failed

Gli errori possono essere ignorati in modo sicuro. Il file atdpatch_MueInuse.msu ha un formato speciale. A differenza dei pacchetti di aggiornamento regolari, in cui l'interfaccia della riga di comando controlla solo l'avanzamento dell'installazione del pacchetto di upgrade regolare:

NOTA:Termina entro 30 secondi.
Accedere a Gestisci, registri, sistema nell'interfaccia di ATD.
Verificare che siano presenti le voci di registro riportate di seguito. Questi registri indicano che il pacchetto viene applicato correttamente.

Thu Jan 27 14:06:49 IST 2022::Installing software...
Thu Jan 27 14:06:49 IST 2022::Completed software installation, please reboot the system
Riavviare manualmente ATD dall'interfaccia della riga di comando mediante il comando Riavvia .

ATD viene eseguito normalmente dopo il riavvio. Monitorare l'utilizzo della CPU e l'avanzamento del processo di scansione nella GUI di ATD.

Apertura di una richiesta di assistenza e richiesta di una sessione remota

Un ingegnere Assistenza tecnica può assumere il controllo di una sessione remota e interrompere il processo di Mue_InUse offensivo o eliminare i file di registro enormi.

Se si verifica un utilizzo elevato della CPU o l'utilizzo di spazio su disco elevato, aprire una richiesta di assistenza. Includere questo numero di articolo e richiedere una sessione remota.

Per creare una richiesta di assistenza, accedere a ServicePortal:

Se si è utenti registrati, digitare l'ID utente e la password, quindi fare clic su accesso.
Se non si è utenti registrati, fare clic su registra e completare i campi. Le password e le istruzioni vengono inviate tramite email.

Informazioni correlate

Questa sezione verrà aggiornata in base alle esigenze per rispondere alle domande più frequenti.

Dove è stato eseguito lo script da- AMCore o McAfee Agent?
Lo script fa parte del pacchetto di AMCore contenuti V3. Dopo che McAfee Agent ha scaricato il script, lo script viene quindi eseguito sul client tramite il motore di McAfee Agent script ( Mue_InUse ).

Se lo script è stato eseguito all'interno di McAfee Agent, come AMCore è stato risolto?
Lo script all'interno del AMCore contenuto V3 è stato ripristinato a una versione precedente.

Se il problema era AMCore da dove viene eseguito il script?
Il problema si trovava nella AMCore script attivazione di un loop di CPU imprevisto nel motore di script di McAfee Agent.

Allegato 1

killMue.zip
241Bytes • < 1 minute @ broadband

Allegato 2

RemoteKillMue.zip
2K • < 1 minute @ broadband

Allegato 3

atdpatch_MueInuse.zip
3K • < 1 minute @ broadband

Dichiarazione di non responsabilità

Il contenuto di questo articolo è stato scritto in inglese. In caso di differenze tra il contenuto in inglese e la traduzione, fare sempre riferimento al contenuto in iglese. Parte del contenuto è stata tradotta con gli strumenti di traduzione automatica di Microsoft.

Prodotti interessati

Advanced Threat Defense 4.8.x
Advanced Threat Defense 4.12.x
Advanced Threat Defense 4.10.x
Data Exchange Layer 6.x
Data Exchange Layer 5.x
Endpoint Security for Linux Threat Prevention 10.x
Endpoint Security Threat Prevention 10.7.x
Endpoint Security Threat Prevention 10.6.x
Known Issue/Product Defect
McAfee Agent 5.7.x
McAfee Agent 5.6.x
Threat Intelligence Exchange Server 3.x
Threat Intelligence Exchange Server 2.3.x
Threat Intelligence Exchange Server 2.2.x

Lingue:

Questo articolo è disponibile nelle seguenti lingue:

English United States
Spanish Spain
French
Italian
Japanese
Portuguese Brasileiro
Chinese Simplified

Knowledge Center

Mue_InUse processo non risponde ai sistemi Linux/macOS/MLOS, consumando la CPU 100%

Ambiente

Problema 1

Problema 2

Problema 3

Causa

Soluzione

Soluzione alternativa 1

Soluzione alternativa 2

Soluzione alternativa 3

Soluzione alternativa 4

Soluzione alternativa 5

Informazioni correlate

Allegato 1

Allegato 2

Allegato 3

Dichiarazione di non responsabilità

Prodotti interessati

Lingue:

Title

Title

Knowledge Center

Mue_InUse processo non risponde ai sistemi Linux/macOS/MLOS, consumando la CPU 100%

Ambiente

Problema 1

Problema 2

Problema 3

Causa

Soluzione

Soluzione alternativa 1

Soluzione alternativa 2

Soluzione alternativa 3

Soluzione alternativa 4

Soluzione alternativa 5

Informazioni correlate

Allegato 1

Allegato 2

Allegato 3

Dichiarazione di non responsabilità

Prodotti interessati

Lingue:

Scegli la regione

Title

Title