没有人说一下阿里云的Log4j2事故吗？

这个就是公司相关法规普及没到位，出事前，技术人员哪里会注意到这条规定。别说阿里的，国内有几个公司能知道要报的？知道有这条规矩，大家自然知道以后该怎么做了。不值得讨论。
但是这个漏洞到底是被埋的backdoor还是真的是个Bug? 应该可以讨论一下。

所有开源协议都在法律下生效。
另外国际上一直以来的流程都是收到漏洞后先去申请CVE分配漏洞编号，在发布补丁前（有时比如操作系统甚至是大厂系统补丁推送完前）不提供漏洞细节。
这次CVE记录显示11月26日分配编号，12月9日还是10日公开。期间阿里向工信部知会一声是一点问题没有的。
就公开报道看CNVD和NVD（中美两国的计算机漏洞数据库）都一脸懵…
居然还被什么新西兰NVD率先发出警报

网上居然还有那么多程序员帮阿里辩护？
进一步了解才知道，人家报过去以后，15天才公开。
阿里真牛，只报给美国，不报给中国。
15天，半个月，可以做多少事？估计以后才知道。
有的人会狡辩，只是包给开源组织。
问题你如何肯定CIA不了解美国开源组织的非公开信息？
开源组织有能力拒绝吗？你如何证明？
还是你想说CIA有足够道德？