CVE 官方漏洞编号系统翻译站点

一、网站简介

CVE（Common Vulnerabilities and Exposures，通用漏洞披露）是全球网络安全领域公认的漏洞标识标准系统，由MITRE公司于1999年创建并持续运营。CVE的核心使命是为每一个公开披露的安全漏洞分配一个全球唯一的标准化编号（格式为CVE-YYYY-NNNNN），从而解决不同安全工具和数据库之间漏洞命名混乱的问题。作为整个漏洞管理生态的根基，CVE就像一本全球通用的漏洞词典，被NVD、CNVD、CNNVD以及所有主流安全产品广泛引用。官网cve.org提供漏洞搜索、CVE编号申请、CNA（CVE编号授权机构）管理等功能。

二、公司背景

CVE项目由美国MITRE公司创立并维护。MITRE是一家成立于1958年的美国非营利组织，总部位于马萨诸塞州贝德福德，长期为美国联邦政府管理多个国家级研发中心（FFRDC）。MITRE在网络安全标准领域具有无可撼动的权威地位，不仅运营CVE系统，还同时维护CWE（通用弱点枚举）、ATT&CK攻击框架等全球安全社区的基础设施。CVE项目目前拥有超过350家CNA授权机构，覆盖全球30多个国家和地区。

三、核心功能

• CVE漏洞编号搜索：通过cve.org或cve.mitre.org官网的搜索功能，按CVE编号、关键词、厂商或产品名称精确检索漏洞记录，获取漏洞的官方描述、参考链接和公开日期等基本信息。
• CVE编号分配与管理：作为CNA（CVE编号授权机构）的接入门户，各安全厂商和机构可通过平台申请为新发现的漏洞分配CVE编号，确保漏洞从发现之初便纳入全球统一管理。
• CNA机构目录：提供全球所有CVE编号授权机构（CNA）的完整目录，涵盖微软、谷歌、Adobe、Apple、Red Hat等顶级厂商，用户可了解每个CNA的覆盖范围和联系方式。
• 漏洞数据下载：提供完整的CVE列表数据下载服务，包含所有已分配CVE编号的漏洞条目，格式为CSV、XML等，供安全研究者和厂商批量处理。
• CVE记录JSON详情页：新版cve.org为每条CVE记录提供结构化的JSON展示页面，包含产品影响树、问题类型、参考链接、CNA归属等丰富元数据。

四、网站特点

• 全球通用标准：CVE编号是全球网络安全社区公认的通用语言，任何漏洞报告、安全公告、学术论文中都必须引用CVE编号才具备可信度。
• 非营利中立运营：由MITRE非营利组织运营，确保CVE编号的分配公正、透明，不受任何商业利益左右。
• 庞大的CNA生态网络：全球超过350家CNA机构共同构成了CVE生态，确保各厂商的漏洞能够快速获得标准化编号并纳入全球数据库。
• 与NVD深度集成：CVE提供漏洞的基本标识，NVD在此基础上提供增强分析，两者协同构成了完整的漏洞情报基础设施。

五、适用人群

• 安全研究员：提交新发现的漏洞前必先在CVE系统确认是否已有编号，并为新漏洞申请CVE编号，这是安全研究成果获得行业认可的重要凭证。
• 安全厂商漏洞分析师：作为CNA机构成员，负责为本公司产品和服务的漏洞分配CVE编号并发布安全公告。
• 企业安全运营人员：通过CVE编号快速在各漏洞库和工具中交叉检索漏洞信息，进行统一的资产风险评估。
• 开发者和运维工程师：在收到安全公告中的CVE编号后，第一时间查阅漏洞详情并评估对自身系统的影响。

六、应用场景

• 漏洞披露标准化：当安全研究员或厂商发现新漏洞时，通过CNA机构为漏洞申请CVE编号，确保该漏洞以统一标识进入全球披露流程。
• 安全公告关联查询：企业运维人员收到微软、Adobe等厂商的安全公告后，通过公告中的CVE编号在NVD或CNNVD中查阅详细的漏洞风险评分和修复建议。
• 跨工具数据关联：SIEM系统检测到攻击行为后，通过关联CVE编号将安全事件、漏洞扫描结果和威胁情报统一映射，实现自动化安全编排。
• 合规审计证据：安全审计报告中引用CVE编号作为漏洞存在和修复的证据，满足监管合规对漏洞管理可追溯性的要求。

七、常见问题（FAQ）

Q：国内能否直接访问CVE官网？
A：可以。cve.org和cve.mitre.org在中国大陆网络环境下均可以正常直接访问，无需借助任何特殊工具。MITRE作为非营利组织，其网站未被限制访问。

Q：CVE编号是如何分配的？
A：CVE编号由CNA（CVE编号授权机构）分配。CNA包括微软、谷歌、Apple等厂商以及MITRE自身。当漏洞发现者向CNA报告漏洞后，CNA审核通过即分配CVE编号。如果漏洞涉及未加入CNA的厂商，则由MITRE直接作为CNA分配编号。

Q：CVE编号可以自己申请吗？
A：个人或组织不能直接给自己分配CVE编号，必须通过CNA机构或MITRE申请。成为CNA机构则需要向MITRE提交申请并满足技术和管理条件。

Q：CVE和CWE有什么区别？
A：CVE（通用漏洞披露）是对具体漏洞实例的编号，如CVE-2024-3094是针对XZ Utils后门漏洞的编号；CWE（通用弱点枚举）是对漏洞类型的分类，如CWE-89表示SQL注入类弱点。一个CVE漏洞可以对应一个或多个CWE弱点类型。

八、类似网站

• NVD（nvd.nist.gov）：在CVE编号基础上提供增强信息的美国国家漏洞数据库。
• CNNVD（cnnvd.org.cn）：中国国家信息安全漏洞库，参考CVE标准构建的国产漏洞数据库。
• OSV（osv.dev）：Google推出的开源漏洞数据库，专注于开源软件生态的漏洞标识。