Trung Quốc dừng hợp tác với Alibaba vì không thông báo kịp thời về lỗ hổng nghiêm trọng Log4j

Reuters và South China Morning Post đã đưa tin về việc Bộ Công nghiệp và Công nghệ thông tin (MIIT) của Trung Quốc đã tạm dừng hợp tác với Alibaba Cloud trong sáu tháng vì không thông báo kịp thời cho chính phủ về lỗ hổng bảo mật nghiêm trọng trong thư viện Log4j.

Thông tin được trích dẫn từ một báo cáo của 21 Century Business Herald, tờ báo tin tức kinh doanh của Trung Quốc.

Lỗ hổng có định danh CVE-2021-44228 (CVSS điểm: 10,0), còn gọi là Log4Shell hoặc LogJam, cho phép kẻ tấn công thực thi mã tùy ý trên các hệ thống bị ảnh hưởng.

Log4Shell được công khai sau khi nhà nghiên cứu Chen Zhaojun của Alibaba gửi email cảnh báo về lỗ hổng cho Apache Software Foundation (ASF) vào ngày 24 tháng 11. Thông tin chi tiết về lỗ hổng đã được chia sẻ trên một blog Trung Quốc vào ngày 8 tháng 12, sau đó hai ngày, nhóm Apache đã phát hành bản vá cho lỗ hổng này.

Sau khi chi tiết lỗ hổng được công khai, tin tặc đã lợi dụng Log4Shell để khai thác rộng rãi trên các máy chủ dễ bị tấn công, do thư viện Log4j được sử dụng phổ biến trong nhiều dịch vụ, trang web và các ứng dụng dành cho cá nhân và doanh nghiệp.

Trong những ngày tiếp theo, các nhà nghiên cứu đã phát hiện thêm ba lỗ hổng khác trong Log4j. Những người bảo trì dự án đã phát hành một loạt các bản cập nhật bảo mật để khắc phục những lỗ hổng này.

Công ty bảo mật Check Point cho biết họ đã chặn hơn 4,3 triệu khai thác cho đến nay, với 46% trong số đến từ các nhóm tấn công đã biết.

Trong một tuyên bố bố công khai vào ngày 17 tháng 12, MIIT cho biết "lỗ hổng này có thể khiến thiết bị bị điều khiển từ xa, dẫn đến các nguy cơ nghiêm trọng như đánh cắp thông tin nhạy cảm và gián đoạn dịch vụ thiết bị" và đến tận ngày 9 tháng 12 họ mới được thông báo về lỗ hổng.

Động thái của MIIT diễn ra vài tháng sau khi chính phủ Trung Quốc ban hành quy định tiết lộ lỗ hổng bảo mật mới yêu cầu các nhà cung cấp phần mềm và thiết bị bị ảnh hưởng bởi lỗ hổng bảo mật, cùng với các tổ chức hoặc cá nhân tham gia vào việc phát hiện lỗ hổng bảo mật, phải báo cáo trực tiếp cho các cơ quan phủ chính trong vòng hai ngày.

Sau khi MIIT ngừng hợp tác, Alibaba Cloud cho biết họ sẽ cố gắng cải thiện việc quản lý rủi ro và tuân thủ. Công ty cũng cho biết họ không hoàn toàn hiểu được mức độ nghiêm trọng của lỗ hổng, vì thế họ đã không kịp thời chia sẻ chi tiết sự việc với chính phủ.

Nguồn: thehackernews.com