最近,阿里云安全团队发现了一个被安全圈公认为注定被载入史册的漏洞,并及时报告给了开发者,可以说功劳甚大。但奇怪的是,不到一个月的时间,工信部网络安全管理局随即对外通报,暂停与阿里云的合作6个月,暂停期满后,再根据阿里云公司整改情况,研究是否恢复合作。

功劳甚大

11月24日,阿里云在Web服务器软件阿帕奇(Apache)下的开源日志组件Log4j内,发现重大漏洞Log4Shell。发现漏洞的同时,立即向总部位于美国的阿帕奇软件基金会报告。

这个漏洞被安全圈公认为注定被载入史册的高危漏洞,漏洞一经披露,不论是大公司还是小公司,无数程序员彻夜难眠,加班加点修复该漏洞,安全圈的“热闹”场面一点不亚于2020年初新冠病毒的爆发。

这个核弹级的漏洞究竟有多厉害?

不管是前端、后端还是客户端工程师,对打日志都不会陌生。日志可以帮助程序员们了解程序的运行情况,排查运行中出现的问题。

在Java技术栈中,用的比较多的日志输出框架主要有log4j2和logback。log4j2便是我们今天的主角。

网络安全领域有一个重要的原则:永远不要相信用户输入的东西。因为很多攻击皆因“用户输入”而起,比如著名的SQL注入攻击。

然而,log4j2,这个非常流行的日志输出框架却犯了这个低级错误。

log4j2中有一个叫JNDI的东西,它可以远程下载class文件来构建对象,一旦远程下载的URL指向黑客的服务器,下载的class暗藏恶意代码,会被毫无保留的执行。

也就是说,黑客可以轻而易举地控制受害目标。

这就好比两个小学生上课迟到,被门口的保安拦住,让登个记。刚想进教室被保安拦住,保安对着一个人说:“敢在登记簿上写周杰伦?你不知道我周杰伦粉丝啊?”然后对着另一个人说:“易烊千玺,你先进去。”

例子不太严谨,大体是这么个意思。这个高危漏洞会让黑客完全控制受害目标,随意进出、随意篡改。试想一下,某用户打开百度搜索首页,结果跳转到某一个色情网站的场景,对百度公司来说,绝对是史诗级灾难。

能发现如此高危漏洞,阿里云功不可没。那为什么工信部会暂停与阿里云的合作呢?

难辞其咎

阿里云是工信部网络安全威胁信息共享平台合作单位,足以证明其技术实力,但在这件事上,它犯了一个很严重的错误。

今年7月12日,工信部刊发了《网络产品安全漏洞管理规定》,已于9月1日起实施。

其中第七条(二)规定:

漏洞发现者应当在2日内向工业和信息化部网络安全威胁和漏洞信息共享平台报送相关漏洞信息。

遗憾的是,由于流程把控不严,阿里云并没有向工信部网络安全威胁和漏洞信息共享平台报送相关漏洞信息。

未及时报送送网络安全威胁和漏洞信息共享平台,而直接报告给总部位于美国的阿帕奇软件基金会。直接导致相关部门没有及时掌握该漏洞的具体情况。

事情经过如下:

11月24日,阿里云安全团队发现重大漏洞,向阿帕奇软件基金会报告,且没有按照规定报告给工信部。随后,奥地利和新西兰计算机应急小组率先对这一漏洞进行了预警。 直至12月9日,工信部才收到有关网络安全专业机构报告,发现阿帕奇Log4j2组件存在严重安全漏洞,立即召集阿里云、网络安全企业、网络安全专业机构等开展研判,并向行业单位进行风险预警。 12月10日,漏洞经过阿帕奇修复,却再度被指出仍然存在漏洞,可以被绕过。 12月14日,中国国家信息安全漏洞共享平台发布《Apache Log4j2远程代码执行漏洞排查及修复手册》,供相关单位、企业及个人参考。

网络安全无小事,尤其是如此严重的漏洞,如果被一些有心人利用,极有可能威胁到国家安全。作为企业,我们应该时刻关注相关法律法规,降低经营风险。

关注中国IDC圈官方微信:idc-quan 我们将定期推送IDC产业最新资讯

查看心情排 行你看到此篇文章的感受是:


  • 支持

  • 高兴

  • 震惊

  • 愤怒

  • 无聊

  • 无奈

  • 谎言

  • 枪稿

  • 不解

  • 标题党
2023-09-11 18:37:24
云资讯 吴泳铭接替张勇出任阿里云代理董事长与CEO
阿里巴巴公司将继续执行之前宣布的计划,对阿里云智能集团进行分拆。 <详情>
2023-07-21 09:43:58
2023-05-04 17:29:44
市场情报 平台赋能技术创新,阿里云天池持续助力全球顶尖算法大赛
“顶会”“期刊”一直以来都是学术领域最重要的前沿技术分享阵地。在计算机领域,全球顶会也代表着来自世界各地的顶尖算法创新竞赛。 <详情>
2022-12-21 09:24:34
机房建设 阿里云在日本东京正式启用第三座数据中心
此前,阿里云已于2016年和2019年在日本先后设立两座数据中心,成立本地公司,服务于游戏、制造、零售和汽车等多个领域。在日本东京正式启用第三座数据中心以满足快速增长的 <详情>
2022-11-11 12:01:00
云资讯 阿里云大数据平台ODPS入选2022年世界互联网领先科技成果
11月9日,2022年世界互联网领先科技成果发布活动在世界互联网大会乌镇峰会期间举办,评选出具有国际代表性的年度领先科技成果,由阿里云自主研发的大数据智能计算平台ODPS入 <详情>