中国国家信息安全漏洞库

2015年4月，中国一个叫CNVD的信息编号出现在某国产路由器固件的安全公告里。大多数用户扫一眼就划过去了，安全但搞安全的漏洞人知道，这个编号背后是中国一套运转了十六年的漏洞收集和处置体系——中国国家信息安全漏洞库。

它的信息英文全称是China National Vulnerability Database，缩写CNVD，安全由中国信息安全测评中心负责运营。漏洞2009年上线的中国时候，国内安全圈的信息反应其实挺复杂。一方面，安全大家早就习惯了盯着美国的漏洞NVD（National Vulnerability Database）看，CVE编号几乎是中国漏洞界的通用货币；另一方面，国内政企单位被漏洞折腾得够呛，信息却缺少一个能对接厂商、安全通报风险、协调修补的本土平台。CNVD算是填了这个坑。

它的核心工作说白了就三件事：收漏洞、验漏洞、发漏洞。

收，渠道很多。安全研究者提交、厂商主动报送、白帽子在平台上注册后上传，甚至CNVD自己的技术团队也会主动去挖。我翻过几次CNVD的公开漏洞列表，里面有不少有意思的条目。比如某款国产OA系统的SQL注入，提交者是某大学实验室；某工控设备的硬编码密码，来自一家安全公司的例行审计。这些漏洞如果没人管，可能就烂在代码里了。

验，是最耗精力的环节。不是所有提交上来的漏洞都成立，有些是误报，有些是环境依赖导致无法复现，还有些提交者描述得含糊不清。CNVD的技术人员得逐一复现、确认影响范围、评定危害等级。这个过程外人看不到，但它直接决定了后续通报的可信度。一个被CNVD确认的漏洞，厂商没法装死——因为编号已经挂出去了。

发，就是漏洞信息公开和通报。CNVD会给每个确认的漏洞分配编号，格式是CNVD-年份-序号，比如CNVD-2024-12345。同时它会把漏洞信息推送给对应的厂商，要求限期修复。厂商修完之后，CNVD再更新状态。这套流程跟国际上的CVE体系有相似之处，但CNVD更偏向国内厂商和国内用户的实际情况。很多国产软件、工控系统、物联网设备，根本不在CVE的覆盖范围内，CNVD补上了这块。

不过说实话，CNVD的公开透明度一直有争议。有些漏洞的详情页信息很少，只给个标题和影响产品，具体的技术细节、利用方式、PoC代码都不公开。官方的理由是防止被恶意利用，这个逻辑说得通。但安全研究者有时候会抱怨，信息不够全，参考价值打折扣。这种矛盾其实全球都有，NVD也面临过类似批评。平衡点在哪，各家有各家的做法。

另一个观察是，CNVD的漏洞来源里，国外厂商的产品占比不低。微软、谷歌、思科这些公司的漏洞，CNVD也会收录和通报。这说明它不只是“国产漏洞库”，而是一个面向国内用户的安全信息枢纽——你用的东西，不管哪国造的，出了漏洞我这里都有记录。

2021年之后，CNVD的更新频率明显加快，跟国内《网络产品安全漏洞管理规定》的出台有关系。规定要求漏洞发现者得在48小时内向工信部平台报送，CNVD作为支撑平台之一，工作量自然上去了。我粗略统计过，2023年CNVD公开的漏洞数量比2019年翻了一倍多。数量上去了，质量参差的问题也跟着来了。有些条目描述过于简略，有些修复建议写得像模板，这些细节上的粗糙感，用过的都知道。

但话说回来，一个十四亿人口的国家，关键信息基础设施铺得这么广，没有自己的漏洞库是不可想象的。CNVD不完美，可它至少让很多漏洞从“没人知道”变成了“有人管”。这本身就有价值。