国家漏洞库

2021年12月，漏洞Apache Log4j2被曝出一个远程代码执行漏洞。漏洞这个漏洞后来被命名为CVE-2021-44228，漏洞圈内人叫它"Log4Shell"。漏洞那几天，漏洞全球安全工程师的漏洞睡眠时间集体缩水。攻击者只需要构造一段特殊的漏洞字符串，就能在目标服务器上执行任意代码。漏洞受影响的漏洞不只是小网站，苹果、漏洞亚马逊、漏洞特斯拉、漏洞推特，漏洞几乎你能叫出名字的漏洞科技公司全在排查范围里。

这个漏洞的漏洞编号，来自一个叫CVE的系统。CVE全称Common Vulnerabilities and Exposures，由美国非营利组织MITRE维护。每个漏洞拿到一个唯一编号，格式是"CVE-年份-序号"。安全研究员发现漏洞后，向MITRE申请编号，然后各大漏洞库同步收录。这套机制从1999年跑到现在，成了全球漏洞信息交换的基础设施。

中国有自己的漏洞库。CNNVD，全称"中国国家信息安全漏洞库"，2009年上线，挂在中国信息安全测评中心下面。还有一个CNVD，"国家信息安全漏洞共享平台"，由国家互联网应急中心运营。两个库名字像，职能有重叠，但定位不太一样。CNNVD偏重漏洞信息的收集、分析和发布，CNVD更侧重漏洞的应急处置和行业协调。

搞安全的人对这两个库的感情挺复杂。一方面，它们是国内漏洞信息最权威的出口，厂商修复漏洞、甲方评估风险、乙方写报告，都得去上面查编号、看详情。另一方面，漏洞库的更新速度、信息完整度、与国际CVE的同步效率，这些年一直有人吐槽。一个漏洞在国外披露了，国内库可能要等几天甚至更久才收录。对于争分夺秒的应急响应来说，这个时间差很要命。

漏洞库的价值不只是"记录"。它是一张地图。安全团队拿到一份资产清单，对照漏洞库里的高危漏洞列表，就能判断哪些系统可能被攻破。厂商发布补丁后，漏洞库更新状态，运维人员据此安排修复优先级。没有这套编号体系，安全沟通会退回到"那个什么什么漏洞"的原始状态，效率低到无法忍受。

但漏洞库也有自己的困境。收录一个漏洞，需要验证、复现、评估影响范围、联系厂商。很多漏洞来自民间白帽子的提交，质量参差不齐。有些漏洞描述含糊，复现步骤缺失，厂商看了也一头雾水。更麻烦的是，漏洞披露本身涉及利益博弈。厂商希望晚点公开，给自己争取修复时间；研究员希望早点公开，证明自己的发现；攻击者则盯着这个时间窗口下手。漏洞库夹在中间，得在透明和安全之间找平衡。

Log4Shell那次，CVE编号在漏洞公开前就已经分配好了，但详细信息被限制访问。这是CVE的"保留"机制，给厂商留出修复窗口。结果有人提前泄露了细节，整个节奏被打乱。这种事在漏洞披露史上反复上演，漏洞库能做的其实有限。

国内漏洞库这几年在改进。CNNVD的官网能查CVE编号了，CNVD的周报更新也稳定了不少。但和国际顶级漏洞库比，差距还在。数据字段的丰富度、API接口的开放程度、历史漏洞的检索体验，都有提升空间。安全圈的人嘴上骂，手上还是得用。毕竟这是国内唯一成体系的漏洞信息基础设施。

漏洞不会消失。代码是人写的，人就会犯错。漏洞库的存在，就是给这些错误建一个档案室。档案室好不好用，直接影响到修错误的速度。Log4Shell那种级别的漏洞，早一天知道和晚一天知道，可能就是几百万台服务器的区别。