圖片來源: 

阿里巴巴集團

阿里雲發現Apache Log4j重大漏洞後未能第一時間通報中國政府,上周遭到中國工信部暫停合作6個月處分。阿里雲上周指事出於未意識漏洞嚴重性而錯誤判斷,未來將改善。而這樣不得已的聲明,也讓外界對其感到同情,並且質疑中國政府強行介入業者漏洞通報環節的動機不單純。

中國媒體報導,阿里雲於上周四(12/23)透過官方微信公眾號發布關於Log4j漏洞通報概況。阿里雲指出,其安全實驗室一名研發工程師發現Log4j (2)組件的一個安全瑕疵,於是按業界慣例以郵件方式向原開發組織Apache開源社群通報以請求協助,經後者確認是一個安全漏洞,並向全球發布修補程式。而後該漏洞被外界證實是全球性的重大漏洞。

阿里雲並未提及任何和工信部停止它參與網路安全威脅、和漏洞信息共享平臺的資格被中止6個月一事,僅解釋是按資安業界通例,先通報Apache軟體基金會。

阿里雲表示,他們在早期未意識到Log4j漏洞(CVE-2021-44228)的嚴重性,以致未及時共享漏洞訊息,未來該公司會強化漏洞管理,提升合規(compliance)意識,積極協同各方做好網路安全風險防範工作。

中國工信部的處分導致的損失尚難確定,但失去官方信任可能影響阿里雲的業務前景。阿里雲同時也是中國工信部推動「互聯網+先進製造業」的跨行業跨領域工業互聯網平臺的合作清單廠商。

阿里巴巴今年4月遭中國市場監管局重罰183億人民幣(約臺幣800億元),以處罰它強迫平臺店家不得在其他電商平臺開店及促銷的壟斷行為。阿里巴巴之後公開表達感激政府。

熱門新聞

Advertisement