據媒體報道，近期，工信部網絡安全管理局通報稱，阿里云是工信部網絡安全威脅信息共享平臺合作單位，近日，阿里云發(fā)現阿帕奇（Apache）Log4j2組件嚴重安全漏洞隱患后，未及時向電信主管部門報告，未有效支撐工信部開展網絡安全威脅和漏洞管理。經研究，現暫停阿里云公司作為上述合作單位6個月。暫停期滿后，根據阿里云公司整改情況，研究恢復其上述合作單位。

截至第一財經記者發(fā)稿，阿里云尚未對此予以回應。

自2021年9月1日實施的《網絡產品安全漏洞管理規(guī)定》第七條規(guī)定，網絡產品提供者應當履行下列網絡產品安全漏洞管理義務，確保其產品安全漏洞得到及時修補和合理發(fā)布，并指導支持產品用戶采取防范措施：（一）發(fā)現或者獲知所提供網絡產品存在安全漏洞后，應當立即采取措施并組織對安全漏洞進行驗證，評估安全漏洞的危害程度和影響范圍；對屬于其上游產品或者組件存在的安全漏洞，應當立即通知相關產品提供者。（二）應當在2日內向工業(yè)和信息化部網絡安全威脅和漏洞信息共享平臺報送相關漏洞信息。報送內容應當包括存在網絡產品安全漏洞的產品名稱、型號、版本以及漏洞的技術特點、危害和影響范圍等。（三）應當及時組織對網絡產品安全漏洞進行修補，對于需要產品用戶（含下游廠商）采取軟件、固件升級等措施的，應當及時將網絡產品安全漏洞風險及修補方式告知可能受影響的產品用戶，并提供必要的技術支持。

阿帕奇（Apache）Log4j2組件是基于Java語言的開源日志框架，被廣泛用于業(yè)務系統(tǒng)開發(fā)。近日，阿里云計算有限公司發(fā)現阿帕奇Log4j2組件存在遠程代碼執(zhí)行漏洞，并將漏洞情況告知阿帕奇軟件基金會。

12月9日，工業(yè)和信息化部網絡安全威脅和漏洞信息共享平臺收到有關網絡安全專業(yè)機構報告，阿帕奇Log4j2組件存在嚴重安全漏洞。工業(yè)和信息化部立即組織有關網絡安全專業(yè)機構開展漏洞風險分析，召集阿里云、網絡安全企業(yè)、網絡安全專業(yè)機構等開展研判，通報督促阿帕奇軟件基金會及時修補該漏洞，向行業(yè)單位進行風險預警。

該漏洞可能導致設備遠程受控，進而引發(fā)敏感信息竊取、設備服務中斷等嚴重危害，屬于高危漏洞。為降低網絡安全風險，提醒有關單位和公眾密切關注阿帕奇Log4j2組件漏洞補丁發(fā)布，排查自有相關系統(tǒng)阿帕奇Log4j2組件使用情況，及時升級組件版本。

標簽： 阿里 漏洞 安全 阿里云