China bestraft Alibaba Cloud voor niet melden van log4j-kwetsbaarheid

De Chinese overheid zou een samenwerking met Alibaba zijn gestopt omdat het bedrijf de Log4Shell-kwetsbaarheid in log4j direct aan de ontwikkelaars zou hebben gemeld. Het ministerie van Industrie en ICT wilde liefst eerst zelf over de kwetsbaarheid horen.

Het ministerie van IIT heeft volgens de South China Morning Post de samenwerking opgezegd met Alibaba Cloud. Het gaat om een samenwerking voor het threat intel-platform dat het ministerie in 2019 opzette. Dat instituut verzamelt namens de overheid dreigingsinformatie, vergelijkbaar met hoe het Nederlandse NCSC opereert. Officieel verzamelt het ministerie die gegevens om andere bedrijven te waarschuwen voor bedreigingen, maar in de praktijk worden kwetsbaarheden door Chinese staatshackers gebruikt voor spionageactiviteiten. Dat zou in het geval van log4j zeer problematisch zijn geweest; de library komt in tienduizenden applicaties over de hele wereld voor en de kwetsbaarheid is makkelijk uit te buiten.

Alibaba Cloud is een belangrijke partner voor dat platform; het bedrijf heeft analisten in dienst die zoeken naar kwetsbaarheden. Het was Alibaba dat eerder deze maand de kwetsbaarheid in Java-library log4j ontdekte. De onderzoekers gaven dat door aan de ontwikkelaar van de library, die er een patch voor maakte voor informatie publiek beschikbaar werd.

Volgens de South China Morning Post heeft het Chinese ministerie nu de samenwerking opgezegd met Alibaba. Dat gebeurt voor een periode van in ieder geval zes maanden. Officieel moeten bedrijven kwetsbaarheden in hun eigen software verplicht aan het ministerie melden, maar voor kwetsbaarheden die ze vinden in software van derden geldt alleen een advies.

Zowel Alibaba Cloud als het ministerie hebben zelf geen officieel bericht over het voorval geplaatst. Het is niet bekend hoe groot de klap voor Alibaba is. Mogelijk verliest het bedrijf door het boycot andere overheidsklanten die veel geld opleveren.

Reacties (66)

[Glodenox]

In dat geval had het dus nog veel erger geweest. Een Chinese overheid die zo'n probleem geheim houdt zou op heel veel systemen hebben kunnen inbreken zonder al te veel problemen. Eigenlijk frustrerend als je kijkt hoe vaak er ontwikkelaars over de jaren gevraagd hebben om de property substitution opt-in te maken in plaats van standaard beschikbaar.

Vooral de blogpost van Jonathan Michael Edwards vond ik zeer informatief om een overzicht te krijgen van de geschiedenis. Het feit dat die vervanging dan nog plaatsvindt na het invullen van de known unsafe values was voor mij de druppel. Lang leve slf4j en logback (totdat er daar een bug gevonden wordt, uiteraard).

[hexeye]

u vraagt, wij draaien: https://nvd.nist.gov/vuln/detail/CVE-2021-42550

Gelukkig wel iets moeilijker te misbruiken.

[Glodenox]

Bah. Die valt op zich gelukkig nog goed mee. Iemand "with the required privileges to edit configurations files" zal bij de meeste organisaties sowieso al ruimere toegang hebben of misschien zelfs verantwoordelijk zijn voor het beheer van de versies. Maar zo te zien is het dus een gelijkaardige manier van aanvallen dat via het aanpassen van het configuratiebestand kan werken. Dat kan dan wel interessant zijn om meer controle te krijgen over een systeem waar je zelf slechts controle hebt over 1 applicatie.

[Reactie gewijzigd door Glodenox op 25 juli 2024 18:16]

[Rolandet]

Een Chinese overheid die problemen geheim houdt.

Het is niet voor te stellen wat de gevolgen dan kunnen zijn.


Oh wacht.............

[80sdude]

Je gaat wel ver van huis af voor die uitspraak

[Vlizzjeffrey]

Lijkt me dat de Amerikaanse inlichtingendienst ook van genoeg kwetsbaarheden weten zie ze actief misbruiken, zo werken inlichtingendiensten, maakt het niet goed dat China eist van bedrijven dat het eerst aan hen gemeld moet worden, maar daar kan je toch niet meer verbaasd over wezen onder hand als het over China gaat?
Maakt het niet goed, maar ik ben er ook maar niet een beetje verbaasd over, zo werkt de Chinese overheid.

[ballie1]

En dat wordt de nieuwe wereldmacht.. Ik hou mn hart vast

[jwv1]

Haal dat wordt maar weg china is allang wereldmacht nr1

[Reactie gewijzigd door jwv1 op 25 juli 2024 18:16]

[wiseger]

Welnee, China is een zeer zwakke speler in de financiele sector, de IT sector, de luchtvaar sector, de farmaceutische sector etcetera. De impact van China op ons leven is echt beperkt.

[Vlizzjeffrey]

Die zullen denk ik, net als Amerika, die macht ten volste benutten, en zullen daar net als Amerika weinig om geven als dat ten koste gaat van andere landen.

[jwv1]

Waarom zouden de amerikanen nsa cia trojans of backdoors nodig hebben uit welk land komt google, microsoft, en facebook=> whattsapp. Ff een wettelijk papiertje en klaar zijn ze en dan nog niet te praten over een nieuwe wereld oorlog dan is iedereen in nederland zijn data kwijt want europese cloud bedrijven gebruiken de meeste europeanen niet

[Reactie gewijzigd door jwv1 op 25 juli 2024 18:16]

[Vlizzjeffrey]

Zijn die dan ook verplicht om een gevonden lek eerst aan de overheid te melden voor ze het openbaar maken?

[Roel911]

Plus, soms worden zaken via geheime rechtszaken gevoerd die dus niet publiek toegankelijk zijn. Echter ook al maakt de EU hard- en software, het probleem is dan verplaatst. 100% safe is het niet te krijgen door firmware of proprietaire (hoe schrijft men dat correct in het Nederlands) software. Aan de andere kant: volledige openheid is ook niet wenselijk op bepaalde gebieden (wapens). Vergeet niet dat ieder mens 1 of meerdere belangen heeft en 1 daarvan is eigenbelang.

[eboellie]

Niet verbaasd, wel stom. Net zoals de meeste Chinezen nu weigeren iets te zeggen over de rellen op Tiananmen Square, en elke uiting daarvan wordt verbannen uit elk opslagmedium in China. Verbaast me niet, maar dit zou niet moeten. Arme bevolking, vreselijke machthebbers die wereldominantie van China als verheerlijking lijken uit te dragen (ja dat is anders dan de supernationalistische gevoelens van landen zoals US, India en Brazilie.).

[YangWenli]

Chinezen zijn al millennia ultra nationalistisch hoor dat is niet uitgevonden door de communisten.

[eboellie]

hi Yangwenli,
mss niet duidelijk beschreven maar vergelijk ik de acties niet (enkel) het gevolg van supernationalisme maar als iets anders.
Ik kan mijn vinger er niet tussen krijgen maar het is erg pijnlijk om een land zo te zien acteren.

Overigens heb ik het ook niet over de communisten. Ik wil ideologie en acties niet mixen.

[Skit3000]

Vanuit het oogpunt van de Chinese overheid snap ik dat ze de samenwerking hebben gestopt, al verwacht ik niet dat de consequentie is dat Alibaba niks meer hoeft te melden, maar dat er beter toezicht op hun activiteiten komt?

In Nederland zijn zaken wel anders geregeld. Het NCSC verzoekt alleen om kwetsbaarheden in systemen van de Rijksoverheid bij hen te melden. Hun standpunt is dat kwetsbaarheden in andere producten eerst bij de ontwikkelaar of leverancier gemeld moeten worden en pas daarna zullen zij als intermediair optreden.

[Wazzim]

Alibaba was letterlijk Cloud leverancier voor de Chinese overheid dus is het toch ook een kwetsbaarheid voor de systemen van hen?

Vraag mij verder ook af in hoeverre de beslissing van het Chinese ministerie uitvoerbaar is, als Alibaba overal cloud diensten levert bij zo'n grote overheid dan ben je echt niet van de ene op de andere dag overgeschakeld naar een andere aanbieder.

[Mellow Jack]

De uitspraak is niet meer dan dat ze niet meer meemogen doen met het programma

[kwakzalver]

Ook een manier om meneer Ma een hak te zetten en Alibaba publiekelijk aan de schandpaal te nagelen....

[ELD]

Hier zit zeker wat in.

[Anonymoussaurus]

De Chinese overheid zou een samenwerking met Alibaba zijn gestopt omdat het bedrijf de Log4Shell-kwetsbaarheid in log4j direct aan de ontwikkelaars zou hebben gemeld. Het minister van Industrie en ICT wilde liefst eerst zelf over de kwetsbaarheid horen.

Tja, tuurlijk, zodat ze de kwetsbaarheid eerst zelf uit kunnen buiten. Maar dat is een aanname natuurlijk zonder bewijs. Het zal mij alleen niets verbazen.

[Reactie gewijzigd door Anonymoussaurus op 25 juli 2024 18:16]

[JerX]

Echt dit. De hele Chinese Bank draait nog op tls1.0 en dan moet de applicatie ook nog als admin draaien. Waarom zou dit toch moeten.. Ra ra

[Rub3s]

Ik denk niet dat de Chinese overheid Chinese bedrijven hoeft te hacken. Ze hebben toch overal toegang tot...
N.v.m., ik had het artikel niet goed gelezen.

[Reactie gewijzigd door Rub3s op 25 juli 2024 18:16]

[Luminai]

Ik denk zomaar ook niet dat er bedoeld werd dat er Chinese bedrijven gehackt zouden worden...

[3raser]

Deze kwetsbaarheid werkt ook buiten China.

[dasiro]

Tja, tuurlijk, zodat ze de kwetsbaarheid eerst zelf uit kunnen buiten. Maar dat is een aanname natuurlijk zonder bewijs. Het zal mij alleen niets verbazen.

net zoals deze stelling gewoon geponeerd wordt zonder bewijs, alsof het een vaststaand feit is:

Officieel verzamelt het ministerie die gegevens om andere bedrijven te waarschuwen voor bedreigingen, maar in de praktijk worden kwetsbaarheden door Chinese staatshackers gebruikt voor spionageactiviteiten.

tendensieuze/gekleurde berichtgeving noemen ze dat

[Anonymoussaurus]

Heb jij bewijs dat het niet zo is dan?

[dasiro]

nee, maar dat is de verantwoordelijkheid van een journalist om met gestaafde feiten een verhaal te brengen, en niet een met verdenkingen te bouwen. Ik kan niet bewijzen dat jij een staatshacker bent, dus ga ik dat ook niet beweren. Innocent until proven guilty is een principe dat niet alleen in een rechtbank geldt, ook in journalistiek zou je daar ook niet mee weg mogen komen.

[PatrickH89]

Je zult op zijn minst moeten toegeven dat het dubieus is om een partij te straffen voor het melden van een lek aan de ontwikkelaar zodat ze het kunnen dichten.

[dasiro]

als de afspraken zijn dat je het eerst aan de overheid meldt en dat doe je niet, dan kan dat, ik weet niet wat voor dingen daar allemaal (contractueel/wettelijk) opgelegd zijn. Hun nationale wetgeving zit anders in elkaar

[PatrickH89]

Dat is een ding wat zeker is ja

[davince72]

Trouwens ik heb geen bewijs dat kabouters bestaan, maar jij hebt geen bewijs dat het niet zo is

[Argantonis]

Heb jij bewijs dat het niet zo is dan?

Heb jij wel eens gehoord van Russell’s teapot?
https://en.wikipedia.org/wiki/Russell's_teapot

En dan is dit zelfs gewoon een bewijsbaar feit. Al helemaal geen excuus om met speculatie te komen.

[Reactie gewijzigd door Argantonis op 25 juli 2024 18:16]

[nopcode]

Tjah je hebt heel zelden 100% zwart op wit bewijs.
Op basis van de threat intel die ik zie ben ik er toch redelijk zeker van dat de chinezen nu westerse bedrijven aanvallen met log4shell (bv via hafnium).

[dasiro]

iedereen weet het, iedereen kan het. Het zou naïef zijn om te geloven dat enkel Chinezen hier misbruik van zouden maken.

[amx]

Of ze vertrouwen de ontwikkelaars niet dat ze er niks mee gaan doen.

Overheidscentraal werken kan ook betekenen: informatie loopt via 1 centraal punt en niet verstrooid. Dit is, reality check, het systeem dat daar nu heersend is. Zie ook het sociale systeem waar de overheid je punten geeft a la dit moderatiesysteem.

Met de geopolitieke bril die ik ook draag is het makkelijk te zeggen ze willen ons/anderen hacken. Andersom kan je hetzelfde redeneren (wat ik hierboven aangeef), ze willen niet gehackt worden door ontwikkelaars. Dat het je wel of niet verbaast is wat mij betreft prima dat je die aannames doet, want je kadert ze voor jezelf.

[Zobat]

Of wilden hun eigen systemen beschermen voordat dit in the open kwam?

[davince72]

-moved to other place-

[Reactie gewijzigd door davince72 op 25 juli 2024 18:16]

[WPNL]

Wie een hond wil slaan . . .
Ze hebben hem toch al op de korrel en dit was een goeie reden om hem te pakken.

[jibjqrkl]

Mwah, aan de andere kant zou het vanuit het oogpunt van China ook zo kunnen zijn dat ze denken dat er een grotere kans is dat het uitlekt als het eerst aan bedrijven gemeld wordt. En dat ze liever zelf snel willen kijken wat voor maatregelen ze moeten nemen.

Kan natuurlijk ook zo zijn dat ze zelf de lekken willen gebruiken, maar die discussie ga ik maar niet op in
Kan iig wel andere redenen bedenken waarom een overheid liever als eerste de info wil hebben

[n4m3l355]

Daar ga je vanuit dat de Chinese overheid niet eerder van deze exploit op de hoogte was publiekelijk. Dit is zeer onwaarschijnlijk, ze zullen zeker op het punt dat het nieuws wereldwijd bekend werd al van deze exploit afweten, zoniet zelfs voordat deze breed bekend werd.

Daarnaast aangezien China voor 70% van de hacks verantwoordelijk is, lijkt het me ook onwaarschijnlijk dat ze hier dan ook niet breed gebruik van maken immers dit is blijkbaar toch wel een gat dat nog steeds bij heel veel bedrijven en instanties openstaat.

Dat maakt deze straf voor Alibaba dan ook niets meer dan gewoon een straf om wederom te kunnen straffen. Dit is dan ook niets meer dan politieke spielerei.

[Marzman]

Je krjigt een 0 beoordeling, maar met dat laatste stuk ben ik het wel eens. Het is een straf om Alibaba en Jack Ma nog een keer te laten weten wie de baas is in China.

[madsector]

Jack Wie? Die naam heb ik al lang niet meer gehoord... Waar is hij gebleven?

[n4m3l355]

Wanneer is een feit propaganda? Er zijn talloze articles zowel in regulier nieuws als zelfs van diverse overheden dat China bij verre verantwoordelijk is voor state-sponsored global hacking. Maar laten we het vooral gooien op propaganda ...

Mij verbaast me eerder iedere keer wanneer iemand iets negatiefs schrijft over China dat er weer apologists opduiken die het propaganda van het Westen noemen, leugens of beginnen met whataboutism.

[jpfx]

Waar zeg ik dat? Ik zeg dat van ALLE kanten propaganda wordt toegepast. Ik noem het ook geen leugens, en heb het ook niet over what about. Wat je wel moet beseffen dat Amerikaanse, Australische, Russische EN Chinese , etc. onderzoeken nooit zullen concluderen dat zij zelf verantwoordelijk zijn voor het overgrote deel van.

[GertMenkel]

Op zich wel goed van Alibaba dat ze tegen het regime in de boel wereldkundig maken. Geeft toch nog wat vertrouwen in de Chinese bedrijven, al zou ik er nog steeds niks mee te maken willen hebben.

[Reactie gewijzigd door GertMenkel op 25 juli 2024 18:16]

[moonlander]

Alibaba moet het hebben van bestellingen buiten China om. Dus reken maar dat die het belangrijk vinden dat de markt buiten China door draait

[devices]

Als ik hun financial report er bij houd, is 66% van hun onzet uit de Chinese retail markt en 5% internationale retail. Waar haal jij je cijfers vandaan?

[Risce]

Misschien goed om te vermelden dat de eigenaar van de South China Morning Post ook dezelfde Alibaba Group is. Deze krant wordt door verschillende andere media ervan beticht Chinas invloed in het buitenland te vergroten.

Door die bril gezien kan het openbaar maken van dit 'conflict' beter gezien worden als een misleiding, waarbij je bijvoorbeeld kan bedenken dat deze exploit al langer bekend was bij het Chinese ministerie dan het nu doet voorkomen. Maar ja, dat is allemaal net zo goed speculatie.

*AVROTROS geheimzinnig geluidje* Nietss.... is wat het lijkt....

[Reactie gewijzigd door Risce op 25 juli 2024 18:16]

[Notlupus]

Interessant vraagstuk of de Chinese overheid nijdig is omdat ze eerst de kwetsbaarheid zelfde wilde misbruiken, of dat ze nijdig is omdat op deze manier de kwetsbaarheid mogelijk gebruikt kon worden voordat ze er zelf vanaf wisten.

[tormentor1985]

Zullen wel weer aardig wat mensen daar zijn die door dit 'foutje' de komende jaren wat minder privileges hebben. Heftig om in zo'n land te leven en nog heftiger dat we in het westen dezelfde kant op lijken te gaan.

[Revres]

Wat zijn nu de echte redenen waarom de overheid dit zelf eerst wilt weten?
En dan doel ik niet op spionage of iets dergelijks. Welke zaken zijn voor de overheid interessant om te weten wat kunnen ze er mee en kost dit niet ook tijd die door de ontwikkelaars al ingezet had kunnen worden om een patch te bouwen?

[Reactie gewijzigd door Revres op 25 juli 2024 18:16]

[GertMenkel]

Als overheid zou ik het niet verkeerd vinden om als eerste een risico-inventarisatie te doen voordat de uitwerpselen de ventilator raken. Het is nu constant patchen, zoeken, patchen, dat had een stuk rustiger gekund als je hier als eerste van wist.

Het hebben van zo'n belangrijke 0day is natuurlijk ook wat waard, of het nu de AIVD of de 国家安全部 is. Even snel nog wat Amerikaanse, Russische en Europese servers openmaken voordat de wereld de boel patcht.

[IJsbeer]

In dit geval zal politiek ook meespelen. De topman van Alibaba laat zich kritisch uit over de chinese overheid.

[hexeye]

hun eigen meuk patchen mitigeren voordat ze zelf geraakt worden na publicatie (omdat iedereen ( VS enz.) het bij publicatie kan misbruiken), en natuurlijk zodat ze het zelf kunnen misbruiken.

[Reactie gewijzigd door hexeye op 25 juli 2024 18:16]

[amx]

Wat South China Morning Post, dezelfde bron van dit artikel schrijft, is dat het onderdeel is van een 3-jarig programma van de overheid.

https://www.scmp.com/tech...ule=inline&pgtype=article

Aim is to keep Beijing abreast of loopholes within country’s mobile apps, connected cars and other internet products that could be exploited by cybercriminals
Though mainly aimed at industry professionals such as app developers, everyday users can also make reports on the four platforms