未及时报告 Log4j2 严重漏洞，阿里云被暂停工信部网络安全威胁信息共享平台合作单位

显示全部楼层 · 发表于 2021-12-22 12:14:39

IT之家 12 月 22 日消息，据 21 世纪经济报道，近期，工业和信息化部网络安全管理局通报称，阿里云计算有限公司（简称“阿里云”）是工信部网络安全威胁信息共享平台合作单位。近日，阿里云公司发现阿帕奇（Apache）Log4j2 组件严重安全漏洞隐患后，未及时向电信主管部门报告，未有效支撑工信部开展网络安全威胁和漏洞管理。经研究，现暂停阿里云公司作为上述合作单位 6 个月。暂停期满后，根据阿里云公司整改情况，研究恢复其上述合作单位。

本月阿里云计算有限公司发现了 Java 日志库的阿帕奇 Apache Log4j2 组件存在远程代码执行漏洞，并将漏洞情况告知阿帕奇软件基金会。这一组件是基于 Java 语言的开源日志框架，被广泛用于业务系统开发。漏洞编号为：CVE-2021-45046。

12 月 17 日，工信部网络安全管理局发布关于阿帕奇 Log4j2 组件重大安全漏洞的网络安全风险提示。官方表示，12 月 9 日收到了有关网络安全专业机构报告，表示这一组件存在严重安全漏洞。工业和信息化部立即组织有关网络安全专业机构开展漏洞风险分析，召集阿里云、网络安全企业、网络安全专业机构等开展研判，通报督促阿帕奇软件基金会及时修补该漏洞，向行业单位进行风险预警。

IT之家了解到，该漏洞可能导致设备远程受控，进而引发敏感信息窃取、设备服务中断等严重危害，属于高危漏洞。

为降低网络安全风险，网络安全管理局提醒有关单位和公众密切关注阿帕奇 Log4j2 组件漏洞补丁发布，排查自有相关系统阿帕奇 Log4j2 组件使用情况，及时升级组件版本。

显示全部楼层 · 发表于 2021-12-22 12:44:34

本帖最后由 ky476 于 2021-12-22 16:30 编辑

Log4Shell漏洞公开披露前，至少已在“在野”9天

显示全部楼层 · 发表于 2021-12-22 13:16:38

发现漏洞报告给对应官方，但是没有报告管局，也违规啊

显示全部楼层 · 发表于 2021-12-22 13:39:57

提示: 该帖被管理员或版主屏蔽

显示全部楼层 · 发表于 2021-12-22 14:00:33

你以为中间隔了那么多天白宫在干啥？怕不是已经到中国摸了个遍了。又不是单线程操作，只报国外不报上级是真的离谱

显示全部楼层 · 发表于 2021-12-22 14:40:20

处罚的不怨，报告给别人，不报告给自己人，想什么呢

显示全部楼层 · 发表于 2021-12-22 16:31:39

《网络产品安全漏洞管理规定》第七条网络产品提供者应当履行下列网络产品安全漏洞管理义务，确保其产品安全漏洞得到及时修补和合理发布，并指导支持产品用户采取防范措施：
（二）应当在2日内向工业和信息化部网络安全威胁和漏洞信息共享平台报送相关漏洞信息。报送内容应当包括存在网络产品安全漏洞的产品名称、型号、版本以及漏洞的技术特点、危害和影响范围等。

显示全部楼层 · 发表于 2021-12-22 17:27:05

sevenday 发表于 2021-12-22 13:16
发现漏洞报告给对应官方，但是没有报告管局，也违规啊

上报给平台是平台合作方的义务吧……

显示全部楼层 · 发表于 2021-12-22 18:41:16

本帖最后由 zpfnfsa 于 2021-12-22 18:55 编辑

sevenday 发表于 2021-12-22 13:16
发现漏洞报告给对应官方，但是没有报告管局，也违规啊

阿里云计算有限公司（简称“阿里云”）是工信部网络安全威胁信息共享平台合作单位,
但是阿里云这次发现问题不告诉工信部，这个既然不想说，就不必加入了，所以工信部暂停了他的加入资格。

说起来这次漏洞是核弹级的，可以扫描各大网站的内部信息，这个阿里云是完全知情的，但是阿里云坚持不告诉我们的国家工信部，让各个同袍的网站赶紧修理网站的漏洞，而是直接在美国公开，这个爱不爱国先不谈，作为工信部的合作单位，只是暂停这个合作资格，确实还是满轻的

显示全部楼层 · 发表于 2021-12-22 19:24:25

罚得轻了

桑德尔头像被屏蔽	发表于 2021-12-22 13:39:57 \| 显示全部楼层提示: 该帖被管理员或版主屏蔽
桑德尔头像被屏蔽
	回复举报

[ＩＴ业界] 未及时报告 Log4j2 严重漏洞，阿里云被暂停工信部网络安全威胁信息共享平台合作单位

评分

评分