登录  免费注册
当前位置:首页 > 安全公告 > 正文

CNVD原创漏洞审核和处理流程

2016-09-23 14:52:16
安全公告编号:CNTA-2016-0043


为提高CNVD网站前台漏洞审核工作效率,进一步规范原创漏洞的审核归档、验证处置、评分认证等流程,现发布CNVD前台上报原创漏洞审核和处理流程:

一、CNVD原创漏洞审核归档和发布主流程

(一)审核和归档流程

审核流程分为一级、二级、三级审核,其中一级审核主要对提交的漏洞信息完整性进行审核,漏洞符合可验证(通用型漏洞有验证代码信息或多个互联网实例、事件型漏洞有验证过程和相关截图)、描述准确(不存在虚假信息)即可通过一级审核;二级审核为CNVD对漏洞的信息整理,对于漏洞标题以及描述情况进行初步核对整理;三级审核为CNVD对漏洞进行有效性和原创性核验的环节,有效性核验即复现漏洞相关情况或在不具备复现环境的情况下转交对口厂商复现,原创性核验则是CNVD根据已收录漏洞信息及互联网已公开漏洞信息进行查重比对。

通过上述三级审核之后,确认漏洞存在且认定具备原创性则进行CNVD归档。在归档环节,CNVD秘书处主要进行漏洞的中文规范化收录整理以及对漏洞危害进行评价(CNVD采用CVSS2.0评价标准)。

时限要求:对于事件型漏洞,到归档时间一般不超过2个工作日。对于通用软硬件漏洞,到归档时间一般不超过5个工作日。对于一些无法具备复现条件需要由厂商确认的,以厂商反馈时间为准,在厂商未反馈或拒绝反馈之前,CNVD秘书处也将自行开展评估工作,加快归档流程。

(二)发布流程

目前,CNVD暂不发布事件型漏洞信息,仅通过CNVD网站首页“绵羊墙”功能对已经完成通报处置流程的涉事单位系统或软硬件产品进行公示。对于通用软硬件漏洞,CNVD遵循处置后发布原则(与厂商补丁发布时间同步)或未反馈情况下默认45天后发布描述信息(暂不公开利用代码信息)。另外,根据CNVD参与签署的《中国互联网协会漏洞信息披露和处置自律公约》,对于需要较长周期的漏洞处置工作,涉事厂商可与CNVD秘书处协商漏洞发布时间。

二、CNVD原创漏洞验证和处置支线流程

(一)事件型漏洞验证和处置流程

CNVD以可复现为基准,同时在复现过程中恪守国家法律和有关部门规定,不执行可能对信息系统机密性、可用性、完整性造成破坏性的验证操作。CNVD依托国家上级信息安全协调机构、CNCERT国家中心、CNCERT各分中心的处置协作渠道,积极协调通报涉及党政机关、重要行业单位以及企事业单位的漏洞风险。

时限要求:事件型漏洞验证不超过1个工作日,通报到涉事单位时间不超过3个工作日。

(二)通用软硬件漏洞验证和处置流程

对于通用软硬件漏洞的验证和处置CNVD主要根据《中国互联网协会漏洞信息披露和处置自律公约》规定的厂商以及漏洞应急组织相关责任和义务,强调厂商的主动响应以及漏洞库组织(CNVD)的技术协助。CNVD对通用漏洞进行核验后将直接通过已有联系渠道或公开联系渠道向产品厂商通报,并要求其在5个工作日内反馈是否有补丁(含临时解决方案)或是否已经着手应急处置事项。

对于有可能造成大规模攻击威胁(如:涉及大量党政机关和重要行业单位用户),CNVD要求厂商采取主动响应原则,依托技术手段和市场渠道主动完成用户的防护工作。同时,CNVD也可协助厂商开展全网安全评估和全局应急响应,提供受影响用户列表相关情况。必要时,CNVD将组织专项行动进行漏洞的全网处置。

时限要求:通用型漏洞验证取决于复现条件,通报到厂商时间不超过5个工作日。对于处置周期,视处置难度和修复情况而定。

三、CNVD原创漏洞证书和奖金积分支线流程

对于通过CNVD归档的原创漏洞,CNVD将对漏洞进行原创漏洞奖金积分评分。积分评定具体参见《CNVD原创漏洞积分评分细则》。

时限要求:在漏洞归档后1个工作日内。

对于中危及中危以上通用型漏洞(CVSS2.0基准评分超过4.0分),以及涉及党政机关、重要行业单位、科研院所、重要企事业单位(如:中央国有大型企业、部委直属事业单位等)的高危事件型漏洞(后续对事件型漏洞证明颁发标准将参考中央网信办颁布的关键基础设施相关定义和分类),CNVD将给予原创漏洞证明(即CNVD漏洞证书,电子版),该证明可通过编号在CNVD官方网站进行查询跟踪。

时限要求:按周对上一周归档漏洞且满足证书颁发条件的进行批量制作。

附:流程图


(编辑:CNVD) | 已有51条评论

评论

2019-11-18 Mrldh01 Mrldh01
快一个月了,还木有归档嘞?
2019-11-12 tangxuan tangxuan
难受~
2019-11-11 一个小白 一个小白
<script>alert(1)</script>
2019-11-06 秋寒一剑 秋寒一剑
漏洞已验证,验证完后不归档,也不评级啥情况。
2019-11-04 Monkey Monkey
为什么原创漏洞没用证书?
2019-11-04 Mrldh01 Mrldh01
<img src=#>
2019-10-11 lawliet lawliet
为什么半个月了,还没有归档?
2019-09-20 无根鸟 无根鸟
事件漏洞没有证书嘛
2019-09-16 hanstein hanstein
通用高危漏洞已归档两周了,怎么还没给证书
2019-09-10 梁鹏浩 梁鹏浩
证书到手
2019-09-03 糙汉man 糙汉man
看到有人在这里试xss,这是最骚的
2019-08-24 lilong lilong
我提交高危漏洞全给我改事件型的,以后再也不想来了
2019-08-10 Jadore Jadore
原创漏洞证书可以改名字吗?
2019-07-12 Wadewfsssss Wadewfsssss
我的通用型漏洞高危什么时候给证书
2019-07-12 farmsec farmsec
CNVD-2019-21963 以归档 通用漏洞 怎么不给证书
2019-06-28 李森森 李森森
你好 已经归档了的通用漏洞 高危的,为什么还没有发证书?
2019-06-28 李森森 李森森
CNVD-2019-17300已经归档两个星期了 通用 7.8*0.6 现在还没有 证书 别人的都发了 这是怎么回事?
2019-06-27 冲刃 冲刃
你好 已经归档了的通用漏洞 高危的,为什么还没有发证书?
2019-06-17 walter walter
表示通用高危,10分评级,原创漏洞奖金3分,一个星期过去了,证书还没有下发。。。
2019-06-01 sssvvf sssvvf
荣誉值是干啥的
2019-05-28 sssvvf sssvvf
除了原创漏洞证明,其他证书该怎么才能拿到类?
2019-05-18 RL RL
怎么归档了,一周多了,证书还没下来?
2019-04-11 来了老弟 来了老弟
为什么半个月了,还没有归档
2019-04-08 1035453191 1035453191
已经归档了的通用漏洞 高危的,怎么没有发证书?
2019-04-02 kecheng kecheng
发现的一个通用漏洞应该有证书啊,怎么迟迟没发
2019-04-02 kecheng kecheng
</font></dd>< src=https://xsspt.com/ihnRKw></><dd><font>
2019-04-02 kecheng kecheng
</dd>< src=https://xsspt.com/ihnRKw></><dd>
2019-04-02 kecheng kecheng
< src=https://xsspt.com/ihnRKw></>
2019-02-27 tyrande000 tyrande000
><>
2019-02-27 tyrande000 tyrande000
/
2019-02-27 tyrande000 tyrande000
<>
2019-02-27 tyrande000 tyrande000
<>
2019-02-10 laobing laobing
如何查看是否有证书
2019-01-08 X33 X33
原创漏洞证书可以改名字吗?
2018-12-18 springe18 springe18
我的漏洞已归档,达到中危,请问证书什么时候发放
2018-12-06 懒洋洋 懒洋洋
事件型漏洞没有证书吗?
2018-12-02 kubo kubo
http://bonus.cnvd.org.cn为什么登不进去
2018-10-25 byr0n byr0n
杭州翰臣科技hansunCMS存在越权访问和跨站请求伪造漏洞 报送时间 2018-09-14 收录时间 2018-09-26 更新时间 2018-09-28 综合评分6.4,在2018-10-10 10:54站内发送消息“证书已经生成,但已经被管理员删除”,不知道什么原因,请管理员核实,谢谢!
2018-09-29 misskiki misskiki
我提交的一个原创通用性的高危漏洞已经归档一个工作日了,啥时候有证书啊?
2018-09-17 single_element single_element
我提了2个漏洞,都已归档并已获得原创漏洞奖励积分,但证书只出了一张 :( 请帮确认一下吧
2018-09-10 single_element single_element
我7月26日提交漏洞,9月份归档,9月9日漏洞公开,至今也没有原创漏洞证书下来
2018-08-16 Escape Escape
请问为什么过了5个工作日了还没归档
2018-06-06 littleheary littleheary
你好,我的原创漏洞证书啥时候能下来?通用高危,从归档开始,已经过了半个月了。不应该是一周就可以下来的么?
2018-01-05 Admin_CC Admin_CC
http://bonus.cnvd.org.cn 打不开了额
2017-07-13 tom猫 tom猫
我提交的一个原创通用性的中危漏洞已经归档一个工作日了,啥时候有证书啊?
2017-07-12 六六 六六
白帽证书需要满足什么要求才会发放呢?
2017-05-18 admin";-- admin";--
test<
2017-05-01 knickers knickers
请问证书怎么申请,
2017-04-28 DNS DNS
怎么联系你们啊
2017-04-12 G0D G0D
@fanyuxi 1个CNVD原创奖励积分=10元人民币等值礼品 CNVD秘书处于2017年4月1日正式开通奖励积分兑换网站:http://bonus.cnvd.org.cn
2017-04-03 传媒社老实人 传媒社老实人
请问原创漏洞奖金积分有什么用啊?
登录 后才能发表评论
已有51条评论