阿裏雲因未及時(shí)報(bào)告安全隐患被暫停
網絡安全信息共享平台合作(zuò)單位資質。
12月(yuè)(yuè)22日，澎湃新(xīn)聞記者從接近
工信部人(rén)士處獲悉，因未及時(shí)報(bào)告嚴重安全隐患，阿裏雲公司被暫停作(zuò)為(wèi)工信部網絡安全威脅信息共享平台合作(zuò)單位6個(gè)月(yuè)(yuè)。
此前有媒體(tǐ)報(bào)道，近期工信部網絡安全管理(lǐ)局通報(bào)稱，阿裏雲發現(xiàn)嚴重安全隐患後未及時(shí)報(bào)告，未有效支撐工信部開展網絡安全威脅和漏洞管理(lǐ)，暫停工信部網絡安全威脅信息共享平台合作(zuò)單位資質6個(gè)月(yuè)(yuè)。
澎湃新(xīn)聞記者并未在工信部網絡安全管理(lǐ)局官網查詢到上(shàng)述通報(bào)。截至記者發稿，阿裏雲方面暫無回應。
阿裏雲究竟“晚報(bào)”了(le)多久，從此前工信部發布的風(fēng)險提示和外媒報(bào)道中可窺探一(yī)二。
12月(yuè)(yuè)17日，工信部網絡安全管理(lǐ)局發布的關(guān)于阿帕奇Log4j2組件重大安全漏洞的網絡安全風(fēng)險提示中指出，阿帕奇（Apache）Log4j2組件是基于Java語言的開源日志框架，被廣泛用于業務(wù)系統開發。近日，阿裏雲計算(suàn)有限公司發現(xiàn)阿帕奇Log4j2組件存在遠(yuǎn)程代碼執行漏洞，并将漏洞情況告知阿帕奇軟件基金(jīn)會。
17日的風(fēng)險提示指出，12月(yuè)(yuè)9日，工業和信息化(huà)部網絡安全威脅和漏洞信息共享平台收到有關(guān)網絡安全專業機構報(bào)告，阿帕奇Log4j2組件存在嚴重安全漏洞。工業和信息化(huà)部立即組織有關(guān)網絡安全專業機構開展漏洞風(fēng)險分(fēn)析，召集阿裏雲、網絡安全企業、網絡安全專業機構等開展研判，通報(bào)督促阿帕奇軟件基金(jīn)會及時(shí)修補該漏洞，向行業單位進行風(fēng)險預警。
12月(yuè)(yuè)9日的時(shí)間(jiān)節點，與阿裏雲官網發布的漏洞公告時(shí)間(jiān)線吻合。阿裏雲官網顯示，12月(yuè)(yuè)9日，阿裏雲安全團隊發布 Apache Log4j2 遠(yuǎn)程代碼執行漏洞（CVE-2021-44228） 安全通告。
但(dàn)多家外媒報(bào)道稱，該漏洞最早由阿裏雲的網絡安全專家發現(xiàn)，并在11月(yuè)(yuè)24日報(bào)告給阿帕奇軟件基金(jīn)會，遠(yuǎn)早于12月(yuè)(yuè)9日的時(shí)間(jiān)節點。
根據我國《網絡産品安全漏洞管理(lǐ)規定》，網絡産品提供者應當在2日内向工業和信息化(huà)部網絡安全威脅和漏洞信息共享平台報(bào)送相關(guān)漏洞信息。
據工信部官網消息，今年9月(yuè)(yuè)1日，工業和信息化(huà)部網絡安全威脅和漏洞信息共享平台正式上(shàng)線運行。其中提到，根據《網絡産品安全漏洞管理(lǐ)規定》，網絡産品提供者應當及時(shí)向平台報(bào)送相關(guān)漏洞信息，鼓勵漏洞收集平台和其他發現(xiàn)漏洞的組織或個(gè)人(rén)向平台報(bào)送漏洞信息。
平台包括通用網絡産品安全漏洞專業庫（
HTTPS://www.cnvdb.org.cn）、工業控制産品安全漏洞專業庫（https://www.cics-vd.org.cn）、移動互聯網APP産品安全漏洞專業庫（https://cappvd.cstc.org.cn）、車聯網産品安全漏洞專業庫（https://cavd.org.cn）等，支持開展網絡産品安全漏洞技術評估，督促網絡産品提供者及時(shí)修補和合理(lǐ)發布自身(shēn)産品安全漏洞。
平台由中國信息通信研究院會同國家工業信息安全發展研究中心、中國軟件評測中心、中國汽車技術研究中心等國家網絡安全專業機構共同建設。
來(lái)源丨澎湃新(xīn)聞
客服1 