阿里又出事了！发现网络安全漏洞，不上报工信部，却通知外国机构

Posted 2023-03-13

参考技术A 突发！工信部宣布暂停与阿里云信息共享平台合作。这是怎么回事？阿里云犯了什么事？要了解这些疑问，首先我们要知道阿帕奇 Log4j2组件。

据悉，阿帕奇 Log4j2组件是基于Java语言的开源日志框架，被广泛用于业务系统开发。而在11月24日，阿里云发现阿帕奇（Apache） Log4j2存在安全漏洞。但阿里云没第一时间向工信部报告，反而率先向阿帕奇软件基金会披露该漏洞。

而阿帕奇软件基金会是专门为支持开源软件项目而成立的一个非盈利性组织，于1999年6月在美国特拉华州注册成立。

在阿里向他们披露漏洞后，奥地利和新西兰官方的计算机应急小组率先对这一漏洞进行预警，而中国工信部是在收到网络安全专业机构报告后，才发现阿帕奇Log4j2组件存在严重安全漏洞。

根据工信部、国家网信办、公安部联合印发的《网络产品安全漏洞管理规定》，网络产品提供者应当在2日内向工信部报送相关漏洞信息，而工信部12月9日发现上述漏洞，距阿里云首次发现已经过去15天。

值得注意的是：这次的漏洞被认为是“计算机 历史 上最大的漏洞”。多名云计算业内人士指出，这是一个非常基础的日志库漏洞。由于组件使用量很大，几乎所有的java程序都会涉及，所以影响面很大。

工信部指出，这一漏洞可能导致设备远程受控，进而引发敏感信息窃取、设备服务中断等严重危害，属于高危漏洞。有关单位和公众密切关注阿帕奇Log4j2组件漏洞补丁发布，排查自有相关系统阿帕奇Log4j2组件使用情况，及时升级组件版本，以降低网络安全风险。

看完上述，相信大家都知道阿里云犯了什么事了吧！根据工信部要求，网络产品提供者发现漏洞，应当在2日内向工信部报送相关漏洞信息。

有此要求是因为通常情况下，发现的早，知道的快，能及时防备、解决漏洞，避免造成损失。反之，知道得越晚，损失越大。

此次的阿帕奇 Log4j2漏洞，几乎影响全球，原本我国本应该能在11月24日就应对的，最后却滞后了15天，15天有多少设备受到了“入侵”呢？

所以，也难怪工信部宣布暂停与阿里云信息共享平台合作。工信部称，阿里云公司发现阿帕奇 Log4j2组件严重安全漏洞隐患后，未及时向电信主管部门报告，未有效支撑工信部开展网络安全威胁和漏洞管理。经研究，现暂停阿里云公司作为上述合作单位6个月。暂停期满后，根据阿里云公司整改情况，研究恢复其上述合作单位。