CVE 是什么
CVE（Common Vulnerabilities and Exposures）是公开漏洞的通用编号体系：一个漏洞对应一个编号，避免同一个人问题在各家公告里各叫一个名字。编号由 MITRE 协调，全球上百个 CNA（编号授权机构，多为厂商与安全组织）在各自产品范围内分配；格式为 CVE-年份-序号，年份表示编号被预留或分配的年份，不代表漏洞发现年份。它解决的是「唯一标识」，不负责评级，也不保证披露详情齐全。
基本信息
| 用途 | 漏洞统一标识与情报关联 |
|---|---|
| 编号格式 | CVE-YYYY-NNNNN，如 CVE-2021-44228；序号为四位以上，不足则前补零 |
| 分配机制 | MITRE 协调，CNA 组织按产品范围分配 |
| 状态字段 | Reserved 预留 / Published 已发布 / Rejected 已废弃 / Disputed 有争议 |
| 权威扩展 | NVD 在 CVE 基础上补充 CVSS 评分、CWE 类型与受影响产品 |
| 国内对应 | CNVD、CNNVD 为国内编号体系，与 CVE 不是一一对应 |
常用查询渠道
常用查询渠道
cve.org CVE 官方目录，可查状态、保留编号与 CNA 信息
nvd.nist.gov NVD 漏洞库，含 CVSS 评分、CWE 与受影响产品区间
www.cnvd.org.cn 国家信息安全漏洞共享平台，偏国内通报视角
www.cnnvd.org.cn 国家信息安全漏洞库，含危害等级与补丁信息
# 交叉核对建议：以厂商公告为准，NVD 用于取评分与类型，国内平台用于通报口径典型使用场景
- 资产台账关联：给每台主机、每个组件挂上受影响编号，才能算清暴露面
- 情报订阅：按编号跟进厂商公告与利用状态，避免漏掉在野利用的漏洞
- 通报回执：监管通报常带 CVE 编号，需要据此定位本单位资产并按时反馈
- 扫描结果去重：不同扫描器的描述不同，编号是合并结果的自然主键
- 补丁核对：确认所装补丁覆盖哪些编号，避免装了补丁仍存在其他编号问题
- 供应商沟通：用编号与厂商确认修复版本，减少来回解释
编号状态读法
| 状态 | 含义 | 处置提示 |
|---|---|---|
| RESERVED | 编号已预留，详情尚未公开 | 先跟踪，不要据此下结论 |
| PUBLISHED | 描述已发布，可对外引用 | 以厂商公告核对受影响版本 |
| REJECTED | 编号被废弃，不再是有效漏洞记录 | 从台账移除，避免统计虚高 |
| DISPUTED | 存在争议，可能被厂商或研究方质疑 | 单独跟踪，不纳入已确认清单 |
| AWAITING ANALYSIS | 已发布但 NVD 尚未完成评分分析 | 评分字段留空，等待补充 |
CVE 编号本身不代表危害等级。编号只说明「该问题已被收录」，严重性要看 CVSS 评分、利用情报与自身业务影响。
编号里的年份是预留年份。同一批次分配可能导致 2023 年才发布详情的漏洞用的是 2020 年编号，按年份筛选情报会漏掉这类条目。
与内部流程的衔接
- 资产台账落编号：每台主机与组件记录受影响编号清单，才能把情报变成待办
- 编号归一：把厂商公告号、国内平台编号与 CVE 编号映射到同一记录，避免重复处置
- 分级研判：编号加评分加在野利用情报，三者合成优先级，不靠单一字段
- 验证闭环：修复后用扫描复测与原路径验证，把证据挂回对应编号
- 定期清理：废弃编号与已确认不受影响的条目移出待办，控制清单规模
- 对外通报：引用编号时同时标注来源与状态，避免把预留编号当已确认漏洞发布
一个漏洞可能对应多个编号：同一缺陷被不同 CNA 分配了不同编号时会形成别名关系，管理平台应支持多编号指向一条记录，否则处置进度与统计会分裂。