CVE是什么东东？

目录

 

前言

正文

一、CVE是什么意思

二、CVE是谁颁布的

三、成为CVE需要满足的条件

---

前言

CVE是什么意思？总是在一些官方通告中看到，比如Electron官网就总能看到这样的描述，如下所示：

正文

一、CVE是什么意思

CVE 的全拼是Common Vulnerabilities and Exposures，意思是通用漏洞披露，用来表示一种漏洞的特定编号。其一般组成结构是 CVE-年份-编码号，比如上图的CVE-2020-15999，意思是2020年发现的一个安全漏洞，编码号是15999。

二、CVE是谁颁布的

CVE是由 MITRE Corporation（一个向美国政府提供系统工程、研究 开发和信息技术支持的非营利性组织）监督发布的，确切的说是 CVE 编号管理机构（CNA）颁布分发的。

三、成为CVE需要满足的条件

1）可以单独修复，该漏洞可以独立于所有其他错误进行修复。

2）已得到相关供应商的确认，或者已记录在案。软件或硬件供应商已确认错误，并承认其会对安全性造成负面影响。错误报告者已共享了一份相关的漏洞报告，表明错误会造成负面影响，且有悖于受影响系统的安全策略。

3）会影响某个代码库，如果漏洞会对多个产品造成影响，则会获得单独的 CVE。对于共享的库、协议或标准，只有在使用共享代码会容易受到攻击时，该漏洞才会获得单个 CVE。否则，每个受影响的代码库或产品都会获得一个唯一的 CVE。

 

参考文档：

https://www.redhat.com/zh/topics/security/what-is-cve

https://www.mitre.org/about/corporate-overview