网易首页 > 新闻中心 > 新闻 > 正文

阿里云未及时通报重大网络安全漏洞 会带来什么后果?

0
分享至

(原标题:阿里云未及时通报重大网络安全漏洞,会带来什么后果?)

【文/观察者网 吕栋】

12月22日,阿里云被工信部暂停网络安全威胁信息共享平台合作单位6个月的消息引发业内广泛关注。

这事缘起于一个月前。当时,阿里云发现阿帕奇Log4j2组件严重安全漏洞后,随即向位于美国的阿帕奇软件基金会通报,但并没有按照规定向中国工信部通报。事发半个月后,中国工信部收到网络安全专业机构的报告,才发现阿帕奇组件存在严重安全漏洞。

阿帕奇组件存在的到底是什么漏洞?阿里云没有及时通报会造成什么后果?国内企业在发现网络安全漏洞后应该走什么程序通报?观察者网带着这些问题采访了一些业内人士。

漏洞银行联合创始人、CTO张雪松向观察者网指出,Log4j2组件在java类系统中应用极其广泛,漏洞危害可以迅速传播到各个领域。由于阿里云未及时向中国主管部门报告相关漏洞,直接造成国内相关机构处于被动地位。

关于Log4j组件在计算机网络领域的关键作用,有国外网友用漫画形式做了形象说明。可以看出,如果没有Log4j组件的支撑,所有现代数字基础设施都面临倒塌的危险。

国外社交媒体用户以表情包的形式,说明Log4j的重要性

此次阿帕奇严重安全漏洞的时间线如下:

11月24日,阿里云在Web服务器软件阿帕奇(Apache)下的开源日志组件Log4j内,发现重大漏洞Log4Shell,然后向总部位于美国的阿帕奇软件基金会报告。

获得消息后,奥地利和新西兰官方计算机应急小组立即对这一漏洞进行预警。新西兰方面声称,该漏洞正在被“积极利用”,并且概念验证代码也已被发布。

12月9日,中国工信部收到有关网络安全专业机构报告,发现阿帕奇Log4j2组件存在严重安全漏洞,立即召集阿里云、网络安全企业、网络安全专业机构等开展研判,并向行业单位进行风险预警。

12月10日,阿里云在官网公告披露,安全团队发现Apache Log4j 2.15.0-rc1版本存在漏洞绕过,要求用户及时更新版本,并向用户介绍该漏洞的具体背景及相应的修复方案。

12月14日,中国国家信息安全漏洞共享平台发布《Apache Log4j2远程代码执行漏洞排查及修复手册》,供相关单位、企业及个人参考。

12月22日,工信部通报,由于阿里云发现阿帕奇严重安全漏洞隐患后,未及时向电信主管部门报告,未有效支撑工信部开展网络安全威胁和漏洞管理,决定暂停该公司作为工信部网络安全威胁信息共享平台合作单位6个月。

根据公开资料,此次被阿里云安全团队发现漏洞的Apache Log4j2是一款开源的Java日志记录工具,控制Java类系统日志信息生成、打印输出、格式配置等,大量的业务框架都使用了该组件,因此被广泛应用于各种应用程序和网络服务。

有资深业内人士告诉观察者网,Log4j2组件出现安全漏洞主要有两方面影响:一是Log4j2本身在java类系统中应用极其广泛,全球Java框架几乎都有使用。二是漏洞细节被公开,由于利用条件极低几乎没有技术门槛。因适用范围广和漏洞利用难度低,所以影响立即扩散并迅速传播到各个行业领域。

简单来说,就是这一漏洞可以让网络攻击者无需密码就能访问网络服务器。

这并非危言耸听。美联社等外媒在获取消息后评论称,这一漏洞可能是近年来发现的最严重的计算机漏洞。Log4j2在全行业和政府使用的云服务器和企业软件中“无处不在”,甚至犯罪分子、间谍乃至编程新手,都可以轻易使用这一漏洞进入内部网络,窃取信息、植入恶意软件和删除关键信息等。

阿里云官网截图

然而,阿里云在发现这个“过去十年内最大也是最关键的单一漏洞”后,并没有按照《网络产品安全漏洞管理规定》第七条要求,在2天内向工信部网络安全威胁和漏洞信息共享平台报送信息,而只是向阿帕奇软件基金会通报了相关信息。

观察者网查询公开资料发现,阿帕奇软件基金会(Apache)于1999年成立于美国,是专门为支持开源软件项目而办的一个非营利性组织。在它所支持的Apache项目与子项目中,所发行的软件产品都遵循Apache许可证(Apache License)。

12月10日,在阿里云向阿帕奇软件基金会通报漏洞过去半个多月后,中国国家信息安全漏洞共享平台才获得相关信息,并发布《关于Apache Log4j2存在远程代码执行漏洞的安全公告》,称阿帕奇官方已发布补丁修复该漏洞,并建议受影响用户立即更新至最新版本,同时采取防范性措施避免漏洞攻击威胁。

中国国家信息安全漏洞共享平台官网截图

事实上,国内网络漏洞报送存在清晰流程。业内人士向观察者网介绍,业界通用的漏洞报送流程是,成员单位>工业和信息化部网络安全管理局 >国家信息安全漏洞共享平台(CNVD)>CVE 中国信息安全测评中心 > 国家信息安全漏洞库(CNNVD)> 国际非盈利组织CVE;非成员单位或个人注册提交CNVD或CNNVD。

根据公开资料,CVE(通用漏洞共享披露)是国际非盈利组织,全球通用漏洞共享披露协调企业修复解决安全问题,由于最早由美国发起该漏洞技术委员会,所以组织管理机构主要在美国。而CNVD是中国的信息安全漏洞信息共享平台,由国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的信息安全漏洞信息共享知识库。

上述业内人士认为,阿里这次因为漏洞影响较大,所以被当做典型通报。在CNVD建立之前以及最近几年,国内安全人员对CVE的共识、认可度和普及程度更高,发现漏洞安全研究人员惯性会提交CVE,虽然最近两年国家建立了CNVD,但普及程度不够,估计阿里安全研究员提交漏洞的时候,认为是个人技术成果的事情,上报国际组织协调修复即可。

但根据最新发布的《网络产品安全漏洞管理规定》,国内安全研究人员发现漏洞之后报送CNVD即可,CNVD会发起向CVE报送流程,协调厂商和企业修复安全漏洞,不允许直接向国外漏洞平台提交。

由于阿里云这次的行为未有效支撑工信部开展网络安全威胁和漏洞管理,根据工信部最新通报,工信部网络安全管理局研究后,决定暂停阿里云作为上述合作单位6个月。暂停期满后,根据阿里云整改情况,研究恢复其上述合作单位。

业内人士向观察者网指出,工信部这次针对是阿里,其实也是向国内网络安全行业从业人员发出警示。从结果来看对阿里的处罚算轻的,一是没有踢出成员单位,只是暂停6个月。二是工信部没有对这次事件的安全研究人员进行个人行政处罚或警告,只是对直接向国外CVE报送的Log4j漏洞的那个安全专家点名批评。

相关推荐
热点推荐
小米汽车21.59万的定价是怎么算出来的?

小米汽车21.59万的定价是怎么算出来的?

果壳
2024-03-28 23:51:30
刘海还在!李铁出庭受审为何没有理发+穿号服?

刘海还在!李铁出庭受审为何没有理发+穿号服?

念洲
2024-03-29 06:46:38
律师立功!曝李铁最开始被查是9位数 翻供后变7764万 留住一条命

律师立功!曝李铁最开始被查是9位数 翻供后变7764万 留住一条命

体坛扒客
2024-03-28 22:37:58
合资车真的要完蛋了!

合资车真的要完蛋了!

电动知家
2024-03-28 16:16:15
陪伴广州人38年的它,突然宣布结业!不到一天后遇戏剧性翻转……

陪伴广州人38年的它,突然宣布结业!不到一天后遇戏剧性翻转……

番禺台
2024-03-29 00:39:20
李铁庭审显老!两眼无神,法令纹变深,改了发型,无法吹刘海了

李铁庭审显老!两眼无神,法令纹变深,改了发型,无法吹刘海了

三十年莱斯特城球迷
2024-03-28 22:18:03
中纪委怒批:为什么动不动就问责公务员?

中纪委怒批:为什么动不动就问责公务员?

法律读品
2024-03-28 21:08:55
“雷军,雷神”热搜爆了!开售27分钟,大定破5万,服务器被挤爆!股价狂飙,一度涨超10%

“雷军,雷神”热搜爆了!开售27分钟,大定破5万,服务器被挤爆!股价狂飙,一度涨超10%

每日经济新闻
2024-03-29 00:45:21
央视记者被阻挠:一个新阶段

央视记者被阻挠:一个新阶段

城市的地得
2024-03-14 00:22:23
不再忍了!41名诺奖获得者联名公开呼吁:对普京采取果断行动

不再忍了!41名诺奖获得者联名公开呼吁:对普京采取果断行动

刀刀说事
2024-03-28 18:18:09
越闹越大!南通禁售冥币纸扎后续,央媒痛批,当地负责人被迫发声

越闹越大!南通禁售冥币纸扎后续,央媒痛批,当地负责人被迫发声

金哥说新能源车
2024-03-28 22:58:19
成立六载,集五城气象!进击的招商蛇口还有更大的野心

成立六载,集五城气象!进击的招商蛇口还有更大的野心

东莞房姐
2024-03-27 14:44:05
郎平夫妇和友人聚餐,63岁郎平染红发变美,和老公定居美国住别墅

郎平夫妇和友人聚餐,63岁郎平染红发变美,和老公定居美国住别墅

缘木不求娱
2024-03-28 16:33:56
穆雷44+7+7送加时绝杀球!老鹰双杀凯尔特人,塔图姆徒砍31+13+6

穆雷44+7+7送加时绝杀球!老鹰双杀凯尔特人,塔图姆徒砍31+13+6

湖人崛起
2024-03-29 10:05:59
小米汽车价格定了!神一样的预测,销量可达2200万辆?

小米汽车价格定了!神一样的预测,销量可达2200万辆?

虹摄库尔斯克
2024-03-27 15:13:41
“蔚小理”表情包刷屏,算小米汽车“公关事故”吗?

“蔚小理”表情包刷屏,算小米汽车“公关事故”吗?

万能的大叔
2024-03-29 00:00:10
妇产科幼儿园迎关停潮,湖南放宽农村落户,绝非偶然

妇产科幼儿园迎关停潮,湖南放宽农村落户,绝非偶然

今纶财经
2024-03-27 17:05:48
这可真是穷疯了,一大堆免费的东西,突然开始收费

这可真是穷疯了,一大堆免费的东西,突然开始收费

顾礼先生
2024-03-28 14:09:34
450台光刻机,2153亿!ASML公司正式宣布,外媒:大局已定

450台光刻机,2153亿!ASML公司正式宣布,外媒:大局已定

大卫聊科技
2024-03-28 22:00:03
7分钟大定破2万!小米汽车21.59万元起售,能打穿哪些同行?

7分钟大定破2万!小米汽车21.59万元起售,能打穿哪些同行?

澎湃新闻
2024-03-28 22:44:36
2024-03-29 10:34:44

头条要闻

牛弹琴:菲方行动逼近临界点 中国向其释放强烈信号

头条要闻

牛弹琴:菲方行动逼近临界点 中国向其释放强烈信号

体育要闻

拒绝为国出战,他是足坛"天选打工人"

娱乐要闻

莱昂纳多与25岁新女友互相投喂超恩爱

财经要闻

展车撞人 投诉飙升 极氪该掰谁的手腕?

科技要闻

雷军:我们是卷王,建议BBA车主感受下时代

汽车要闻

混动增程双模式 长安UNI-Z售11.79万起

态度原创

手机
本地
艺术
时尚
公开课

手机要闻

OPPO Find X7 Ultra 卫星通信版上架:16GB+1TB,售价 7499 元

本地新闻

专访|张伟潮:最年轻的龙头专职制造者

艺术要闻

艺术开卷|从闺阁、庭院到郊野,古画中的女性生活空间

时尚无关年龄!当你学会这些气质搭配,50岁女人也依然很美

公开课

30岁之前,你要学会的13件事情

无障碍浏览 进入关怀版
×