导致阿里云被暂停合作的漏洞究竟是什么?
新京报贝壳财经讯(记者 罗亦丹)因发现安全漏洞后的处理问题,近日阿里云引发了一波舆论。
据媒体报道,11月24日,阿里云安全团队向美国开源社区Apache(阿帕奇)报告了其所开发的组件存在安全漏洞。12月22日,因发现Apache Log4j2组件严重安全漏洞隐患后,未及时向电信主管部门报告,阿里云被暂停作为工信部网络安全威胁信息共享平台合作单位6个月。
12月23日,阿里云在官方微信公号表示,其一名研发工程师发现Log4j2 组件的一个安全bug,遂按业界惯例以邮件方式向软件开发方Apache开源社区报告这一问题请求帮助,"随后,该漏洞被外界证实为一个全球性的重大漏洞。阿里云因在早期未意识到该漏洞的严重性,未及时共享漏洞信息。"
"之前发现这样的漏洞都是直接通知软件开发方,这确实属于行业惯例,但是《网络产品安全漏洞管理规定》出台后,要求漏洞要同时通报给国家主管部门。由于上述法案颁布的时间不是很长,我觉得漏洞的发现者,最开始也未必能评估到漏洞影响的范围这么大。所以严格来说,这个处理不算冤,但处罚其实也没有那么严格,一不罚钱,二不影响做业务。""某安全公司技术总监郑陆(化名)告诉贝壳财经记者。
漏洞影响有多大?
那么,如何理解Log4j2漏洞的严重程度呢?
安全公司奇安信将Apache Log4j2漏洞的CERT风险等级定为"高危",奇安信描述称,Apache Log4j 是 Apache 的一个开源项目,通过定义每一条日志信息的级别,能够更加细致地控制日志生成过程,"Log4j2中存在JNDI注入漏洞,当程序将用户输入的数据进行日志记录时,即可触发此漏洞,成功利用此漏洞可以在目标服务器上执行任意代码。"
安域云防护的监测数据显示,截至12月10日中午12点,已发现近1万次利用该漏洞的攻击行为。据了解,该漏洞影响范围大,利用方式简单,攻击者仅需向目标输入一段代码,不需要用户执行任何多余操作即可触发该漏洞,使攻击者可以远程控制受害者服务器,90%以上基于java开发的应用平台都会受到影响。
"Apache Log4j RCE 漏洞之所以能够引起安全圈的极大关注,不仅在于其易于利用,更在于它巨大的潜在危害性。当前几乎所有的技术巨头都在使用该开源组件,它所带来的危害就像多米诺骨牌一样,影响深远。"奇安信安全专家对贝壳财经记者表示。
"这个漏洞严重性在于两点,一是log4j作为java日志的基础组件使用相当广泛,Apache和90%以上的java应用受到影响。二是这个漏洞的利用入口非常多,几乎达到了(只要)是这个漏洞影响的范围,只要有输入的地方就受到影响。用户或者攻击者直接可以输入的地方比如登录用户名、查询信息、设备名称等等,以及一些其他来源的被攻击者污染的数据来源比如网上一些页面等等。"从事多年漏洞挖掘的安全行业老兵,网友"yuange1975"在微博发文称。
"简而言之,该漏洞算是这几年来最大的漏洞了。"郑陆表示。
在"yuange1975"看来,该漏洞出来后,因为影响太广泛,IT圈都在加班加点修补漏洞。不过,一些圈子里发文章为了说明这个漏洞的严重性,又有点用了过高评价这个漏洞的词语,"我不否认这个漏洞很严重,肯定是排名很靠前的漏洞,但是要说是有史以来最大的网络漏洞,就是说目前所有已经发现公布的漏洞里排第一,这显然有点夸大了。"
"log4j漏洞发现者恐怕发现漏洞时对这个漏洞认识不足,这个应用的范围以及漏洞触发路径,我相信一直到阿里云上报完漏洞,恐怕漏洞发现者都没完全明白这个漏洞的真正严重性,有可能当成了Apache下一个普通插件的一个漏洞。"yuange1975表示。
9月1日起施行新规 专家:对于维护国家网络安全具有重大意义
据了解,业界的开源条例遵循的是《负责任的安全漏洞披露流程》,这份文件将漏洞披露分为5个阶段,依次是发现、通告、确认、修复和发布。发现漏洞并上报给原厂商,是业内常见的程序漏洞披露的做法。
贝壳财经记者观察到,白帽黑客建立漏洞发现与收集的平台并告知企业的做法一度在圈内流行。根据《财经天下》的报道,把漏洞报给原厂商而不是平台方,也会有潜在的好处。包括微软、苹果和谷歌在内的厂商对报告漏洞的人往往会有奖励,"最高的能给到十几万美元"。更重要的是名誉奖励。几乎每一家厂商对第一个报告漏洞的人或者集体,都会公开致谢。"对于安全研究人员而言,这种名声也会让他们非常在意。
不过,今年9月1日后,这一行业"常见程序"就要发生变化。
7月13日,工信部、国家网信办、公安部印发《网络产品安全漏洞管理规定》,要求任何组织或者个人设立的网络产品安全漏洞收集平台,应当在两日内向工业和信息化部网络安全威胁和漏洞信息共享平台报送相关漏洞信息。该规定自2021年9月1日起施行。
值得注意的是,《规定》中也有漏洞发现者需要向产品相关提供者通报的条款。如《规定》第七条第一款显示,发现或者获知所提供网络产品存在安全漏洞后,应当立即采取措施并组织对安全漏洞进行验证,评估安全漏洞的危害程度和影响范围;对属于其上游产品或者组件存在的安全漏洞,应当立即通知相关产品提供者。第七条第七款则表示,不得将未公开的网络产品安全漏洞信息向网络产品提供者之外的境外组织或者个人提供。
奇安信集团副总裁、补天漏洞响应平台主任张卓在接受新京报贝壳财经记者采访时表示,《网络产品安全漏洞管理规定》释放了一个重要信号:我国将首次以产品视角来管理漏洞,通过对网络产品漏洞的收集、研判、追踪、溯源,立足于供应链全链条,对网络产品进行全周期的漏洞风险跟踪,实现对我国各行各业网络安全的有效防护。在供应链安全威胁日益严重的全球形势下,《规定》对于维护国家网络安全,保护网络产品和重要网络系统的安全稳定运行,具有重大意义。
张卓表示,《规定》第十条指出,任何组织或者个人设立的网络产品安全漏洞收集平台,应当向工业和信息化部备案。同时在第六条中指出,鼓励相关组织和个人向网络产品提供者通报其产品存在的安全漏洞,还"鼓励网络产品提供者建立所提供网络产品安全漏洞奖励机制,对发现并通报所提供网络产品安全漏洞的组织或者个人给予奖励。"这两条规定规范了漏洞收集平台和白帽子的行为,有利于让白帽子在合法合规的条件下发挥更大的社会价值。
新京报贝壳财经记者 罗亦丹 编辑 白昊天 校对 李铭
诺基亚和老年机杠上了,又来一款作为曾经的手机霸主,诺基亚现在的处境也是让人不胜唏嘘。除了前几年发布过几款中端机型之外,这两年诺基亚是和老年机杠上了,连续推出了几款面向老年用户的机型。近日在某东又上架了一款型号为
Linux之tr命令将字符进行替换压缩和删除,tr命令可以对来自标准输入的字符进行替换压缩和删除。它可以将一组字符变成另一组字符,经常用来编写优美的单行命令,作用很强大。命令语法tr选项字符串1字符串
Linux之lastlog命令显示系统中所有用户最近一次登录信息,lastlog命令用于显示系统中所有用户最近一次登录信息。lastlog文件在每次有用户登录时被查询。可以使用lastlog命令检查某特定用户上
linux之fping命令fping检测主机是否存在,fping命令fping类似于ping,但比ping强大。与ping要等待某一主机连接超时或发回反馈信息不同,fping给一个主机发送完数据包后,马上给
Linux之lastb命令列出登入系统失败的用户相关信息。lastb命令用于显示用户错误的登录列表,此指令可以发现系统的登录异常。单独执行lastb命令,它会读取位于varlog目录下,名称为btmp的文件
纪念袁隆平,不仅要十里长街的送别,还要珍惜手中的那碗米饭袁老走了!是看我们吃过午饭才走的,但是他好像从未离开!我突然想起了一句诗有的人死了,他还活着1964年,袁隆平开始研究杂交水稻,1974年,第一个杂交水稻品种南优2号正式培育完成,
世界经济衰退,中国为何崛起?过去的2020年,按中国的干支纪年,是庚子年。每个庚子年,注定都是极不平凡的一年,都会面临前所未有之大变局。1900年,庚子年,那一年,中国在八国联军的铁蹄之下,主权尽失,割地赔款
津门大侠霍元甲死因之谜因吐血而亡,79年后开馆验明真相1909年,一个英国人嘲讽国人是东亚病夫,并在上海摆开擂台,百姓十分气愤,这时霍元甲出来迎战,没想到到了公开比赛那天,英国人却早已逃之夭夭。赫赫有名的霍元甲,在创办了精武会后,他的
历史中和珅与纪晓岚是何关系?和珅被赐死后,纪晓岚结局如何?提起和珅就想起,像小丑一样围着乾隆转的胖子,还时不时被大学士纪晓岚讽刺挖苦。作为乾隆身边的这两位大臣,和珅和纪晓岚到底是何关系?真的是一对喜欢互怼的欢喜冤家吗?和珅如何从一个权臣变
唐伯虎闻名江南为何不走仕途?腰缠万贯风流成性?九个妻妾太离谱作为江南四大才子的老大唐伯虎,才华横溢却一生没有入朝为官,传闻他腰缠万贯,还曾娶了九房妻妾,他自称桃花庵主,过着看似逍遥的生活。那么真实的唐伯虎真的像传闻中那样风流成性吗?他是如何
与诸葛亮齐名,刘伯温助朱元璋打江山,聪明绝顶为何难逃悲惨命运有句话叫三分天下靠的是诸葛亮,统一江山靠的是刘伯温。诸葛亮是三国时间蜀汉政权建立的重要贡献者,在他的帮助下,刘备从卖草席的变成一个帝国CEO而刘伯温却帮助朱元璋,从乞丐的身份转变为