阿里云回应未及时上报漏洞被处罚,将强化漏洞管理

12月22日消息,工信部通报称,近日,阿里云公司发现阿帕奇(Apache)Log4j2 组件严重安全漏洞隐患后,未及时向电信主管部门报告,未有效支撑工信部开展网络安全威胁和漏洞管理。经研究,现暂停阿里云公司作为上述合作单位 6 个月。暂停期满后,根据阿里云公司整改情况,研究恢复其上述合作单位。

多名云计算业内人士告诉记者,这是一个非常基础的日志库漏洞。由于组件使用量很大,几乎所有的java程序都会涉及,所以影响面很大。

“目前来看,是阿里更早发现了这个漏洞,并将问题反馈给了Apache基金会,之后Apache为Log4j发布了新版补丁修复。但是,阿里云没有及时去向工信部申报。主要错误在于没有重视上报流程和申报漏洞。”有业内人士表示。

根据今年9月1日施行的工信部、国家网信办、公安部联合印发的《网络产品安全漏洞管理规定》,网络产品提供者应在发现漏洞的2日内向工业和信息化部报送漏洞信息,并及时进行修补,将修补方式告知可能受影响的产品用户。

阿里云官方今日回应称,因在早期未意识到该漏洞的严重性,未及时共享漏洞信息。阿里云将强化漏洞管理、提升合规意识,积极协同各方做好网络安全风险防范工作。

以下为阿里云官方回应全文:

Log4j2 是开源社区阿帕奇(Apache)旗下的开源日志组件,被全世界企业和组织广泛应用于各种业务系统开发。

近日,阿里云一名研发工程师发现 Log4j2 组件的一个安全 bug,遂按业界惯例以邮件方式向软件开发方 Apache 开源社区报告这一问题请求帮助。Apache 开源社区确认这是一个安全漏洞,并向全球发布修复补丁。随后,该漏洞被外界证实为一个全球性的重大漏洞。

阿里云因在早期未意识到该漏洞的严重性,未及时共享漏洞信息。阿里云将强化漏洞管理、提升合规意识,积极协同各方做好网络安全风险防范工作。

本文来自投稿,不代表老米博客立场,如若转载,请注明出处:https://www.laomiseo.com/3535.html

老米博客转载的文章、资料及相关图片,其版权均有原作者或原刊载媒介拥有,未经版权所有人同意,任何机构或个人不得擅自将其作为商业用途。

本站文章侵犯了原作者的权益,请联系我们(jin654@163.com),我们会立即更正或者删除有关内容。

本站拥有对此声明的最终解释权。