12月22日，工业和信息化部网络安全管理局发出通报：由于阿里云发现严重安全隐患后未及时报告，未能有效支撑工信部开展网络安全威胁和漏洞管理，暂停阿里云公司作为工信部网络安全威胁信息共享平台合作单位6个月。暂停期满后，根据阿里云公司整改情况，研究恢复其上述合作单位。
12月23日晚，阿里云官方公众号发布文章《关于开源社区Apache log4j2 漏洞情况的说明》来回应此事件，并表示未来将强化漏洞报告管理、提升合规意识，积极协同各方做好网络安全风险防范工作。
事件回溯
12月9日深夜，技术圈经历了一场“大地震”。Apache Log4j2被曝出一个“核弹级”高危漏洞，相信对于很多技术人都是一个难眠之夜，众多公司产品“中招”，被迫连夜修bug。
Apache Log4j2 是一款优秀的Java日志框架，该工具重写了Log4j框架，并且引入了大量新的特性。这次发现的漏洞是在Apache Log4j2 远程代码执行时，攻击者通过jndi注入攻击的形式可以轻松远程执行任何代码。由于该组件广泛应用在Java程序中，因此影响范围极大。
据悉，11月24日阿里云安全团队就发现该漏洞并向Apache官方进行了报告，而未及时向工信部上报该漏洞。因此，在Apache通报该漏洞之后，工信部才发布了该安全漏洞的网络安全风险提示，而使用了Log4j2的公司也是在这之后才开始进行产品升级。
《Log4j连续剧更新：Apache 发布新补丁版本 Log4j 2.17.0 》
为何工信部会暂停阿里云信息共享平台合作？
为什么工信部会暂停阿里云信息共享平台合作呢？7月13日，工信部、国家网信办、公安部印发《网络产品安全漏洞管理规定》，9月1日开始施行，其中对于安全漏洞的上报处理流程做了相关规定。
其中第七条指出：
网络产品提供者应当履行下列网络产品安全漏洞管理义务，确保其产品安全漏洞得到及时修补和合理发布，并指导支持产品用户采取防范措施：
（一）发现或者获知所提供网络产品存在安全漏洞后，应当立即采取措施并组织对安全漏洞进行验证，评估安全漏洞的危害程度和影响范围；对属于其上游产品或者组件存在的安全漏洞，应当立即通知相关产品提供者。
（二）应当在2日内向工业和信息化部网络安全威胁和漏洞信息共享平台报送相关漏洞信息。报送内容应当包括存在网络产品安全漏洞的产品名称、型号、版本以及漏洞的技术特点、危害和影响范围等。
（三）应当及时组织对网络产品安全漏洞进行修补，对于需要产品用户（含下游厂商）采取软件、固件升级等措施的，应当及时将网络产品安全漏洞风险及修补方式告知可能受影响的产品用户，并提供必要的技术支持。
工业和信息化部网络安全威胁和漏洞信息共享平台同步向国家网络与信息安全信息通报中心、国家计算机网络应急技术处理协调中心通报相关漏洞信息。
鼓励网络产品提供者建立所提供网络产品安全漏洞奖励机制，对发现并通报所提供网络产品安全漏洞的组织或者个人给予奖励。
第十条指出：
第十条 任何组织或者个人设立的网络产品安全漏洞收集平台，应当向工业和信息化部备案。工业和信息化部及时向公安部、国家互联网信息办公室通报相关漏洞收集平台，并对通过备案的漏洞收集平台予以公布。
鼓励发现网络产品安全漏洞的组织或者个人向工业和信息化部网络安全威胁和漏洞信息共享平台、国家网络与信息安全信息通报中心漏洞平台、国家计算机网络应急技术处理协调中心漏洞平台、中国信息安全测评中心漏洞库报送网络产品安全漏洞信息。
阿里云回应全文：
Log4j2 是开源社区阿帕奇（Apache）旗下的开源日志组件，被全世界企业和组织广泛应用于各种业务系统开发。
近日，阿里云一名研发工程师发现Log4j2 组件的一个安全bug，遂按业界惯例以邮件方式向软件开发方Apache开源社区报告这一问题请求帮助。Apache开源社区确认这是一个安全漏洞，并向全球发布修复补丁。随后，该漏洞被外界证实为一个全球性的重大漏洞。
阿里云因在早期未意识到该漏洞的严重性，未及时共享漏洞信息。阿里云将强化漏洞报告管理、提升合规意识，积极协同各方做好网络安全风险防范工作。
阿里云计算有限公司
2021年12月23日
