cnvd2021年度原创漏洞发现贡献单位

2021年12月，年度CNVD（国家信息安全漏洞共享平台）公布了年度原创漏洞发现贡献单位名单。原创这份名单不长，漏洞但信息量很足。发现排在前面的贡献几家单位，大多不是单位普通用户耳熟能详的互联网大厂，而是年度安全公司、研究机构和高校实验室。原创这个细节本身就说明了一件事：漏洞挖掘这件事，漏洞靠的发现不是流量和规模，而是贡献实打实的技术积累和持续投入。

先看榜单结构。单位贡献单位分为几类：安全厂商、年度运营商、原创高校、漏洞科研机构，还有少数个人研究者挂靠单位。安全厂商占了将近一半，比如奇安信、绿盟、启明星辰这些老面孔。他们的优势在于有专职团队，常年盯着主流系统和工控设备，产出稳定。高校这边，西安电子科技大学、北京邮电大学、东南大学等几所学校连续几年上榜。高校的特点是爆发力强，某个实验室在特定方向——比如物联网协议或者车联网——集中突破，一年能提交几十个原创漏洞。运营商里，中国移动和中国电信的网络安全部门也出现在名单上。这不算意外，他们管着庞大的基础网络，自己发现问题比被外部通报要主动得多。

原创漏洞的“原创”两个字值得细说。CNVD收录的漏洞分两种：一种是原创发现，指提交者自己挖出来的；另一种是转载或复现。年度贡献单位评的是前者。挖一个原创漏洞，从模糊测试、代码审计到构造PoC、写报告，周期短则几天，长则几个月。有些漏洞藏在冷门协议或者老旧固件里，需要逆向工程和硬件调试。我见过一个案例：某高校团队在分析某品牌工业路由器时，发现固件更新包没有签名校验，攻击者可以伪造固件植入后门。这个漏洞的挖掘过程用了将近三周，最后提交的PoC只有十几行Python代码，但发现过程一点都不简单。

从CNVD公开的数据看，2021年全年收录的原创漏洞数量比2020年增长了约两成。增长主要来自哪里？物联网设备。智能摄像头、智能门锁、工业传感器，这些设备量大面广，固件更新慢，安全设计普遍薄弱。安全厂商和高校在这块投入明显加大。另一个增长点是国产软件。随着信创推进，国产操作系统、数据库、中间件的漏洞挖掘开始被重视。以前大家盯着Apache、Nginx、Windows，现在统信UOS、达梦数据库、东方通中间件也进入视野。这个转向是好事，说明安全研究跟上了产业节奏。

不过，榜单也暴露出一些问题。贡献单位高度集中在几家头部安全公司和少数高校，中小企业和个人研究者上榜的很少。原因不复杂：挖漏洞需要时间、设备和知识储备，没有稳定支持很难持续。CNVD的激励机制以荣誉为主，物质奖励有限。有些白帽子挖到高危漏洞后，更愿意提交给厂商的SRC或者国际漏洞平台，因为那边奖金更高。这导致部分高质量漏洞没有进入CNVD。2021年有几起案例，某国产OA系统的远程代码执行漏洞先出现在国外漏洞库，CNVD后知后觉。这种时间差值得反思。

另一个观察是，贡献单位的地域分布不均衡。北京、上海、深圳、西安、成都这几个城市占了绝大多数。安全研究跟互联网产业和高校资源高度相关，中西部和东北地区除了少数高校，几乎看不到企业上榜。这不是短期能改变的，但至少说明漏洞挖掘还没有形成全国性的生态。

回到榜单本身。CNVD年度贡献单位评选搞了多年，2021年这届没有大的规则变化，但提交质量要求更严了。以前有些单位靠批量提交低危漏洞刷数量，现在CNVD会审核漏洞的实际影响和原创性，重复提交或者自动化扫描结果会被剔除。这个调整是对的。漏洞挖掘不是比谁提交得多，而是比谁挖得深、挖得准。一个能远程利用的高危漏洞，价值远高于几十个需要本地权限的低危问题。

最后说点个人判断。这份名单反映的是中国漏洞挖掘的一线力量，但还不是全部。很多真正厉害的独立研究者没有单位挂靠，或者用个人身份提交，不会出现在贡献单位里。CNVD如果能增加个人贡献者的曝光和激励，对整个生态会更有帮助。另外，原创漏洞发现只是第一步，后续的修复推动、厂商响应、用户通知，每个环节都需要投入。挖出来没人修，等于白挖。2021年有些漏洞在CNVD公示后，厂商拖了几个月才发补丁，这种情况需要更硬的约束机制。

漏洞挖掘是网络安全的地基工作。CNVD这份年度名单，既是成绩单，也是体检表。看到进步，也看到短板。技术控看门道，普通人看热闹，各取所需。

很赞哦!（4667）