披露漏洞

2023年11月，披露漏洞某开源社区的披露漏洞一个深夜提交记录里，有人上传了一段不到四十行的披露漏洞Python代码，附言只有一句：修复了一个可能导致远程代码执行的披露漏洞边界问题。没人在意。披露漏洞三天后，披露漏洞安全邮件列表里炸了锅，披露漏洞那个“边界问题”实际上能让攻击者绕过所有身份验证，披露漏洞直接拿到服务器的披露漏洞root权限。更离谱的披露漏洞是，这个漏洞已经在代码仓库里躺了整整两年。披露漏洞

这就是披露漏洞披露漏洞最真实的模样——它往往不是电影里那种倒计时炸弹，而是披露漏洞某个程序员凌晨三点改完代码后，顺手点下的披露漏洞那个“合并”按钮。

我跟踪过十几个中高危漏洞的披露漏洞公开时间线。有个规律挺有意思：从漏洞被发现到厂商确认，平均要花掉11天。这11天里，发现者通常在做三件事——写PoC验证、反复确认不是自己搞错了、纠结要不要直接发推特。有个白帽子朋友跟我说过，他曾经在某个路由器固件里挖到一个后门，兴奋了半小时后开始害怕，“万一这是厂商故意留的调试接口呢？我捅出去会不会被跨国追责？”

这种犹豫不是没道理。2017年，某安全研究员发现某款儿童智能手表存在漏洞，能实时获取孩子的位置和录音。他按照标准流程报了CNVD，等了三个月，厂商没回应。他选择在博客上公开细节，结果第二天就收到了律师函，理由是“损害商业信誉”。后来这事在圈子里发酵，厂商才灰溜溜地发了补丁。你看，披露漏洞有时候像在走钢丝，左边是用户知情权，右边是法律风险，中间还飘着厂商的面子。

真正让事情变复杂的，是漏洞的“保质期”。一个漏洞从被利用到被修补，窗口期可能只有几小时。2021年Log4j那个核弹级漏洞，从公开到全网扫描器跟进，不到12小时。那天晚上，我认识的运维们都在干同一件事——一边骂娘一边打补丁，有人直接把服务器网线拔了。这种时候，披露漏洞就不是“要不要说”的问题，而是“怎么说才能让防御方跑得比攻击方快”。

但厂商的反应往往慢得让人想砸键盘。有个做IoT安全的朋友统计过，他报的漏洞里，超过六成厂商在90天内没发补丁。更气人的是，有些厂商的“修复”就是改个版本号，漏洞还在，只是懒得理你。于是就有了“full disclosure”和“responsible disclosure”的百年争吵——前者主张直接公开，逼厂商行动；后者主张先给厂商时间，别让用户裸奔。吵了几十年，谁也没说服谁。

我自己的判断偏激进一点。如果一个漏洞已经被在野利用，或者厂商超过45天装死，那就该公开。用户有权知道自己正在用什么破烂玩意儿。去年有个国产NAS的漏洞，厂商拖了半年，最后是用户自己在论坛里拼凑出攻击细节，才倒逼出补丁。那半年里，所有没打补丁的设备都是肉鸡。

当然，披露不是目的。真正的目的是让漏洞死掉。所以现在有些团队开始玩“渐进式披露”——先给厂商30天，再给公众一个模糊的警告，最后才放技术细节。这法子不完美，但至少比要么憋着要么炸了强。

说到底，披露漏洞是一场关于信任的博弈。厂商想控制叙事，攻击者想抢时间，用户想知情，白帽子想自保。四方拉扯之下，没有标准答案。唯一能确定的是——那个凌晨三点的提交记录，可能比任何安全公告都更接近真相。