cndv国家漏洞库

2021年12月，漏洞Apache Log4j2爆出那个被称为“核弹级”的漏洞远程代码执行漏洞时，我正蹲在一个安全技术群里。漏洞凌晨两点，漏洞群里还有人往共享文档里贴链接——不是漏洞官方公告，是漏洞各种民间复现步骤、临时补丁、漏洞甚至带着点炫耀性质的漏洞攻击demo。那时候大家嘴里都挂着一个名字：CNVD。漏洞如果你不是漏洞干安全这行的，可能真没听过这个缩写，漏洞但那天晚上，漏洞它成了很多人下意识去刷新的漏洞第一个页面。

CNVD，漏洞全称国家信息安全漏洞共享平台，漏洞挂在中国互联网协会下面，2010年前后开始正式运转。它不像商业漏洞库那样把数据藏起来卖钱，也不同于国外CVE的纯编号体系。你把它理解成一个“中转站”更合适：厂商报上来的、白帽子挖出来的、甚至从暗网论坛里捞出来的漏洞，在这里被确认、定级、编号，然后推给对应的厂商和监管单位。我印象很深，Log4j那会儿CNVD的收录速度比CVE还快了半天，编号是CNVD-2021-95914，后来这个号被无数安全报告引用。

但真正让我觉得它有意思的，不是这种大事件里的表现。是那些不起眼的小漏洞。比如某国产OA系统的任意文件上传，或者某路由器固件的后门账号。这些漏洞在CVE里往往排不上号，国外研究员没兴趣，厂商自己又装死。CNVD会先发一个“漏洞预警”，措辞通常很克制，就一句话加一个影响版本范围。可懂行的人一看就知道——这玩意儿要是被脚本小子扫到，内网能穿个底朝天。我见过一个案例：某省级单位的门户网站用了某CMS，CNVD三个月前就发了漏洞公告，但运维没当回事。后来被挂马，首页跳转到菠菜网站，停站整改了两周。你说这怪谁？CNVD的公告就挂在那儿，没藏没掖。

它的漏洞收录范围也很有意思。除了常见的Web应用、操作系统、工控设备，还专门有一块叫“事件型漏洞”——比如某个App偷偷上传用户通讯录，或者智能摄像头默认密码是admin/123456。这类问题严格说不算传统意义的“漏洞”，但CNVD照收不误。我翻过它的历史公告，2020年有一批教育类App被点名，原因是未经用户同意收集IMEI和位置信息。公告里甚至写了具体版本号和下载渠道。这种细致程度，商业漏洞库不会做，因为没利润。

当然，CNVD不是没毛病。它的搜索界面至今还停留在十年前的水平，想按厂商、按时间、按危害等级组合筛选？得，你得手动翻页。漏洞详情页偶尔还会出现“暂无补丁”但厂商其实已经悄悄更新了的情况。我猜是报送流程的滞后，或者厂商压根没通知CNVD。这种信息差在应急响应时挺要命的。不过话说回来，一个半官方背景的免费平台，能坚持十几年把基础数据做扎实，已经不容易了。你看国外那些漏洞库，要么被大厂收购后搞订阅制，要么干脆停止更新。

去年有个刚入行的朋友问我，挖到漏洞该往哪儿报。我说你先去CNVD注册个白帽子账号，提交之后等审核。他问有没有奖金。我说大部分没有，但你会拿到一个CNVD编号。那个编号写在简历里，比你说“我挖过很多洞”管用。他后来真提交了一个某政务系统的SQL注入，两周后收到了归档邮件。邮件里就一句话：“您的漏洞已收录，编号CNVD-2023-XXXXX。”他说那一刻比拿钱还爽。我信。干这行的，谁不希望自己的名字跟一个国家级漏洞库绑在一起呢？哪怕只是角落里的一行小字。