在 Linux/macOS/MLOS 系统上，Mue_InUse 进程无响应，占用100% 的 CPU

技术文章 ID: KB95203
上次修改时间: 2023-04-28 12:41:41 Etc/GMT

环境

Advanced Threat Defense （ATD） 4.x
Data Exchange Layer （DXL） 6.x 、 5.x
Endpoint Security for Linux 威胁防护 10.7.x ， 10.6.x
Endpoint Security for Mac 威胁防护 10.7.x ， 10.6.x
Threat Intelligence Exchange （TIE）服务器 4.x 、 3.x2.x
Trellix Agent 5.x

支持 Linux/macOS/MLOS 系统操作系统
AMCore v3 内容版本4683

问题 1

您会在 Linux 系统上观察以下内容：

该 Mue_InUse 过程变得无响应。
该过程最终会消耗100% 的 CPU。

您会在以下文件中 McScript.log 看到错误消息（ /Var/McAfee/agent/logs/ ）：

[ScrptExe] [E] [Executing section ExecuteDetectionScript]->
[ScrptExe] [E] [Line 626: RunScript dwRet = /var/McAfee/agent/update/Current/AMCORDAT2000/amcore.mcs, ScriptMain]->
[CmdPrsr] [E] Parse error line 350 column 36: Unexpected empty value
[CmdPrsr] [E] Error trace:
[Log] [E] [Main thread]->
[SessMgr] [E] [SessionManager::runScript:/var/McAfee/agent/update/UpdateMain.McS]->
[ScrptExe] [E] [Executing section ScriptMain]->
[ScrptExe] [E] [CallIf]->
[ScrptExe] [E] [Executing section StartUpdateProcess]->

您会看到 Mue_InUse 进程处于无响应状态。您需要结束该进程才能还原其功能。CPU 接近100%：

Mue_InUse process approaches 100% CPU

问题 2

您 macOS 的系统上的 MEDDAT 内容更新失败：

您会在以下文件中 McScript.log 看到错误消息（ /var/McAfee/agent/logs/ ）：

[ScrptExe] [E] [Line 626: RunScript dwRet = /var/McAfee/agent/update/Current/AMCORDAT2000/amcore.mcs, ScriptMain]->
[CmdPrsr] [E] Parse error line 350 column 36: Unexpected empty value
[CmdPrsr] [E] Error trace:
[Log] [E] [Main thread]->
[SessMgr] [E] [SessionManager::runScript:/var/McAfee/agent/update/UpdateMain.McS]->
[ScrptExe] [E] [Executing section ScriptMain]->
[ScrptExe] [E] [CallIf]->
[ScrptExe] [E] [Executing section StartUpdateProcess]->
[ScrptExe] [E] [Call]->
[ScrptExe] [E] [Executing section DetectInstalledProductsAndUpdate]->
[ScrptExe] [E] [Call]->
[ScrptExe] [E] [Executing section GetDetectionScripts]->
[ScrptExe] [E] [Call]->
[ScrptExe] [E] [Executing section FindAndExecuteDetectionScripts]->
[ScrptExe] [E] [LoopIf]->
[ScrptExe] [E] [Executing section EnumerateThroughProductIDList]->
[ScrptExe] [E] [LoopIf]->
[ScrptExe] [E] [Executing section EnumerateThroughFile]->
[ScrptExe] [E] [Call]->
[ScrptExe] [E] [Executing section ExecuteDetectionScript]->
[ScrptExe] [E] [Line 626: RunScript dwRet = /var/McAfee/agent/update/Current/AMCORDAT2000/amcore.mcs, ScriptMain]->
[CmdPrsr] [E] Parse error line 350 column 36: Unexpected empty value
[CmdPrsr] [E] Error trace:

问题 3

当系统记录该 Parse error line 350 column 36: Unexpected empty value 错误时，可能还会导致磁盘空间占用更多，而不会 McScript.log 占用代理策略中的配置。该进程不会执行 log rotate 命令。并会占用磁盘空间，直到系统重新启动或 Mue_InUse 进程被终止。

原因

该症状源于内容包中 AMCore 进行的生产更改，其中 Extra.DAT 部署脚本（ extradat.mcs ）会更新以包含非 Windows 平台支持。

即使 Linux 和 macOS 系统不使用 AMCore 内容，部署更新的方式也会显示代理在这些平台上执行 AMCORDAT2000 的内容更新脚本。在对脚本进行解析时，Windows 与非 Windows 平台之间的行为差异仅导致非 Windows 系统发生错误。此方案中的脚本引擎行为是重试运行脚本。此行为会创建一个逻辑循环，导致进程的高 CPU 消耗症状 Mue_InUse 。

解决方案

此问题已在内容版本 4684 中 AMCore 得以解决。

重要说明：

4684内容版本不会终止可能仍在运行的任何 Mue_InUse 会话。
对于在更新任务中选择了内容的任何已创建的任务，4684内容版本会 AMCore 停止本文中显示的错误。

注意: 根据设计，该 Mue_InUse 进程 sigkill 会对命令。进行硬编码，并在六个小时后自行终止。因此，您可能决定等待该 Mue_InUse 进程终止。

将更新任务配置为仅 MEDDAT 安装组件，并在使用 Endpoint Security 漏洞利用防护 Linux 内容。

操作 ePO 控制台：

登录到 ePO 控制台。
选择系统报告所在的各个组。
单击 分配客户端任务，并编辑 产品更新 任务。
取消选择有关在组中安装 Linux/macOS/MLOS 操作系统的系统的 AMCORE 选项。
保存任务。
要应用更改，请将唤醒呼叫发送到所有系统。

重要说明： 禁用从 ePO 控制台启用的所有 内容更新 任务。在内容更新（ AMCore 版本 4684 ）之前，请使这些任务保持禁用状态，并减轻该过程的 Mue_InUse 问题。

解决方法 1

结束客户端上的 Mue_Inuse 进程。

操作问题 Linux/macOS/MLOS 系统：

使用具有 root 用户的 SSH 连接到有问题的系统。
要确定系统上运行的进程，请运行 top 命令。：

-bash-4.1# top

输出

PID USER PR NI VIRT RES SHR S %CPU %MEM TIME+ COMMAND
3559 root 20 0 538m 411m 9240 R 85.6 5.2 1 17:08.57 Mue_InUse
运行以下命令。以在无响应状态下结束现有 Mue_Inuse 进程：

sudo pkill -f Mue_InUse

重要说明: 如果 pkill 命令。无法结束进程，请键入以下内容：

kill -9 <PID number of Mue_Inuse>

例子： kill -9 3559
如果您有多个进程实例 Mue_InUse ，请键入以下内容：

killall -9 Mue_InUse

注意: 以上命令。会在一个操作中关闭所有 Mue_InUse 进程。

可选脚本解决方案：
本文中附加了一个 .sh 脚本，用于手动使用 root 用户。

请在本文的 "附件" 部分下载该文件 killMue.zip 。
将内容解压缩到某个文件夹。
killMue.sh将复制到有问题的系统。
通过 SSH 将连接到系统。
导航到您复制该 .sh 文件的文件夹。

示例： 文件已复制到 /tmp/

键入命令。：

[root@SGPRGC109002 tmp]# ls -ll /tmp/

输出：
total 41744
-rwxr-xr-x. 1 root root 90 Jan 19 17:29 killMue.sh
要运行该 .sh 文件，您必须先将权限分配给该文件，然后才能执行。如果您未分配权限，您将得到以下错误：

[root@SGPRGC109002 ~]# cd /tmp/
[root@SGPRGC109002 tmp]# ./killMue.sh
-bash: ./killMue.sh: Permission denied

注意: 默认情况下，该文件没有执行权限。

[root@SGPRGC109002 tmp]# ls -ll /tmp/

输出：
total 41744
-rw-r--r--. 1 root root 90 Jan 19 17:29 killMue.sh
分配执行权限：

[root@SGPRGC109002 tmp]# chmod +x /tmp/killMue.sh
[root@SGPRGC109002 tmp]# ./killMue.sh
[root@SGPRGC109002 tmp]#
要自动执行此过程，请使用第三方工具导入 ENS 设置后，请重新启动操作系统。

解决方法 2

如果找到进程的单个实例 Mue_InUse ，请执行以下步骤：

禁用从 ePO 控制台启用的所有 内容更新任务 。
更新到 ePO 主存储库中的新内容： V2 DAT [10232]、MEDDAT [4855] 和 V3 DAT [ 4684.0 ]。
启用所有 Linux 内容更新任务。
推送产品更新任务，以将新内容更新到所有客户端系统。

注意: 根据设计，该 Mue_InUse 进程 sigkill 会对命令。进行硬编码，并在六个小时后自行终止。因此，您可能会等待 Mue_InUse 进程终止。

解决方法 3

如果您有多个受影响的 Linux 系统， RemoteKillMue 则工具可以允许您从 Windows 系统远程终止该 Mue_InUse 进程。RemoteKillMue.zip请在本文的 "附件" 部分下载该文件。按照包含 Readme.txt file 的中的说明执行操作。

注意: 工具要求远程系统都具有 SSH 启用，允许为 SSH root 登录，并且它们都共享 root 密码。

解决方法 4

要确定 McScript.log 在终止进程后 Mue_InUse 文件和关联的备份是否占用空间，请运行以下命令。。命令。会列出代理日志文件及其相应的大小：

ls -lh /var/McAfee/Agent/logs

如果文件大于在代理策略中定义的数量，则可以删除这些文件并重新启动代理服务或重新启动系统。

命令。删除当前 McScript.log 文件的示例：

注意: 您必须具有 root 访问权限才能执行这些操作。在 MLOS 系统（TIE 或 DXL）上，服务帐户可能无法删除文件。

对于 Linux：

sudo rm -rf /var/McAfee/agent/logs/McScript.log

对于 MLOS：

[mcafee@mcafee~]#su
密码：
bash- 4.1 # rm -rf /var/McAfee/agent/logs/McScript.log

注意: 出现提示时输入 root 密码。

有关代理服务命令，请参阅以下文章：

有关 Linux/MLOS 上的代理服务命令，请参阅 KB52707-Trellix Agent 命令。行开关。
有关 macOS 上的代理服务命令，请参阅 KB83950-如何在 MAC OS X 10.10 及更高版本上启动和停止 Trellix Agent 服务。

解决方法 5

ATD
根权限在 ATD 上受到限制。因此，为解决 ATD 上的症状，您有两个选择：

应用可安装的包。
打开一个服务请求，并请求远程会话。

重要说明： 完成上述任一选项后，请务必按 "解决方案" 部分中的 ePO 更新 产品更新 任务。

应用可安装的包：
在本文的 "附件" 部分中查找包，它会终止旋转 Mue_InUse 的进程，并删除日志。

atdpatch_MueInuse.zip下载并解压缩文件atdpatch_MueInuse.msu.
使用帐户上传 atdpatch_MueInuse.msu （以.msu格式）到 ATD。 atdadmin
使用该 cliadmin 帐户登录命令。行接口，然后执行以下命令。：

install msu atdpatch_MueInuse.msu
执行时，您可能会看到一些类似下面的错误。

Error: job pid is not running: 2761
Error: Software Installation failed

您可以放心地忽略这些错误。文件 atdpatch_MueInuse.msu 具有特殊格式。与常规更新包不同，其中命令。行界面仅监控定期升级包的安装进度：

注意: 它将在30秒内完成。
转至 " 管理"、" 日志"、"ATD 接口" 中的系统。
确认以下日志条目是否存在。这些日志指示包已成功应用。

Thu Jan 27 14:06:49 IST 2022::Installing software...
Thu Jan 27 14:06:49 IST 2022::Completed software installation, please reboot the system
使用 reboot 命令。手动重新启动命令。行界面中的 ATD。

重新启动后，ATD 会正常运行。在 ATD GUI 中监控 CPU 使用和扫描作业进度。

打开一个服务请求并请求远程会话

技术支持工程师可以对远程会话进行控制，并终止出现问题的 Mue_InUse 进程，或删除大型日志文件。

如果您遇到高 CPU 使用率或磁盘空间使用率较高的情况，请打开服务请求。包含此文章编号并请求远程会话。

要创建服务请求，请登录到 ServicePortal：

如果您是注册用户，请键入您的用户 ID 和密码，然后单击 " 登录"。
如果您不是注册用户，请单击 " 注册 " 并填写字段。您的密码和说明已通过电子邮件发送给您。

附件 1

killMue.zip
241Bytes • < 1 minute @ broadband

附件 2

RemoteKillMue.zip
2K • < 1 minute @ broadband

附件 3

atdpatch_MueInuse.zip
3K • < 1 minute @ broadband

免责声明

本文内容源于英文。如果英文内容与其翻译内容之间存在差异，应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。

受影响的产品

语言:

此文章有以下语言版本：

Knowledge Center

在 Linux/macOS/MLOS 系统上，Mue_InUse 进程无响应，占用100% 的 CPU

环境

问题 1

问题 2

问题 3

原因

解决方案

解决方法 1

解决方法 2

解决方法 3

解决方法 4

解决方法 5

相关信息

附件 1

附件 2

附件 3

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

在 Linux/macOS/MLOS 系统上，Mue_InUse 进程无响应，占用100% 的 CPU

环境

问题 1

问题 2

问题 3

原因

解决方案

解决方法 1

解决方法 2

解决方法 3

解决方法 4

解决方法 5

相关信息

附件 1

附件 2

附件 3

免责声明

受影响的产品

语言:

选择您的区域

Title

Title