内容摘要：```html 中国国家信息安全漏洞库CNNVD 中国国家信息安全漏洞库CNNVD 2010年，一个叫“极光”的IE漏洞被公开，利用代码几天内就出现在各种攻击工具里。那时候国内很多单位连漏

```html

中国国家信息安全漏洞库CNNVD

2010年，中国一个叫“极光”的信息IE漏洞被公开，利用代码几天内就出现在各种攻击工具里。安全那时候国内很多单位连漏洞从哪来、漏洞谁负责收、中国谁负责通知都说不清楚。信息工信部下属的安全中国信息安全测评中心牵头搞了个东西，叫“中国国家信息安全漏洞库”，漏洞英文缩写CNNVD。中国说白了，信息就是安全给国内的软件漏洞建个档案库，谁发现了漏洞，漏洞往这儿报，中国由他们来验证、信息编号、安全发公告。

这个库跟美国的NVD（国家漏洞数据库）定位有点像，但运作逻辑不太一样。NVD主要靠MITRE的CVE编号做索引，全球通用。CNNVD走的是自己的一套编号体系，叫“CNNVD-年份-编号”。比如一个Windows的远程执行漏洞，CVE那边可能叫CVE-2023-1234，CNNVD这边就是CNNVD-202303-5678。两套号并行，国内厂商做兼容性测试的时候经常得两边都查。

我翻过CNNVD的公开漏洞列表。有意思的是，它不光收录国际大厂的产品漏洞，国产软件的比例相当高。像某款国产办公套件、某家银行的网银控件、甚至一些地方政务系统的登录模块，都在里面能找到记录。这跟NVD的收录偏好差别明显——NVD对非英语区的软件覆盖一直偏弱，很多国产软件出了漏洞，CVE那边根本没人提交。CNNVD算是补上了这块缺口。

漏洞提交的渠道分两种。一种是厂商或安全研究者主动报送，另一种是CNNVD自己监测或从公开渠道抓取。报送之后，工作人员会做复现验证，确认存在了再分配编号。这个过程快的话两三天，慢的话拖一两周。我认识一个做渗透测试的朋友，他报过一个国产OA系统的SQL注入，从提交到看到CNNVD公告大概用了十天。他说“比等CVE快多了，CVE那边三个月都没动静”。

不过CNNVD的公开信息颗粒度是个槽点。很多条目的描述就一句话，比如“某国产路由器存在命令注入漏洞”，连具体型号和固件版本都不写。厂商补丁链接有时也缺失。相比之下，NVD的条目通常会附上CVSS评分、参考链接、受影响版本范围。你要做资产排查，光看CNNVD的公告经常不够，还得去搜厂商自己的安全通告。

评分体系上，CNNVD早期用过自己的CVSS-like分级，后来逐渐向CVSS v3.0靠拢。现在大部分条目会标注“高危”“中危”“低危”，但具体向量值不一定给全。这导致一个问题：安全团队做优先级排序时，没法直接拿CNNVD的分数去跟NVD的CVSS分数做对比。你得自己重新评估。

另一个观察是CNNVD对漏洞的“处置”角色。它不只是个数据库，还承担了向国内关键基础设施单位发预警的职能。比如某个漏洞影响面特别广，CNNVD会通过内部渠道先通知重点单位，过一段时间再公开。这种“先内后外”的做法，跟国际通行的“协同披露”原则有出入，但在国内安全圈里大家默认接受。

2021年有个事让我印象挺深。某国产数据库被曝出一个提权漏洞，CNNVD先发了公告，但没给补丁链接。那几天好几个甲方打电话问乙方“到底修没修”。后来厂商才慢悠悠出了个热补丁。这种信息滞后，暴露了库和厂商之间的协调机制还不够顺滑。

说到底，CNNVD是个有中国特色的漏洞基础设施。它解决了“国内漏洞没人管”的问题，但在数据质量、国际对接、披露节奏上还有不少粗糙的地方。用的人得心里有数：把它当线索来源可以，当权威依据得再交叉验证。

```