「势说新语」SBOM 在企业软件供应链管理中的重要性—安全漏洞篇

引言：在信息安全界，近期爆出的最大的“雷”便是 2021 年 12 月发生的 Log4Shell 漏洞（CVE-2021-44228）。我们相信，类似 Log4Shell 的漏洞绝不是最后一次出现，那么下一次面临类似的问题的时候我们该怎样及早发现、及早修复呢？

在数字时代，软件安全已经成为政府、企业、组织等各个层面关注的重要问题。虽然软件是一种无形资产，但是由于忽视软件安全所带来的国家安全、企业安全、个人隐私等各个方面的严重问题却是“有形”的。CISQ(Consortium for Information & Software Quality) 发布的一个数字表明美国 2020 年由于软件质量付出的代价达到了 2.08 万亿美元。

更进一步，混源开发模式已成为常态，开源软件的使用比例越来越高。OSSRA 报告中显示，该机构调研的分布于各行业的组织中的 2409 个代码库中，有 97%的代码库包含开源组件。开源代码的使用对企业和开源社区甚至整个 IT 行业的发展都具有非常积极的意义，但是制定混源策略、管理这些日益增长的第三方代码、保证代码不受安全漏洞的威胁成为了一个迫切需要关注的问题。

在信息安全界，近期爆出的最大的“雷”便是 2021 年 12 月发生的 Log4Shell 漏洞（CVE-2021-44228）。该漏洞被广泛认为是史上最严重的信息安全漏洞。美国网络安全和基础设施安全局局长 Jen Easterly 把这个漏洞视为她职业生涯所经历的最严重的漏洞。接下来，我们就以该事件为例，与大家讨论如何在企业的软件供应链管理中及早发现、及早处理此类安全漏洞。

》》》什么是 Log4Shell 漏洞

Log4Shell 是一个 Log4j 产生的零日漏洞，主要涉及任意代码执行，允许攻击者在服务器或其他计算机上执行任意 Java 代码，或泄露敏感信息。Log4j 是 Apache 基金会贡献的开源项目，于 2001 年首次发布，它是一个基于 Java 的日志框架，受影响的 Log4j 版本包含 JNDI 功能（如消息查找替换），这些功能无法防止对手控制的 LDAP 和其他与 JNDI 相关的端点。

》》》Log4Shell 发现的时间线

• 2021 年 11 月 24 日 阿里云安全团队的陈兆军首先发现问题并报告给 Apache 基金会

• 2021 年 12 月 1 日 CloudFla