1. CVE 基础认知：从编号到情报的起点
做漏洞优先级评估，第一件事不是看 CVSS 分数，而是搞清楚你手里拿的到底是个什么东西。CVE 就是这个「东西」的身份证。我见过不少团队，拿着一个 CVE 编号就去修，结果修错了组件——说白了，连编号都没看懂。
这一节，我们先把 CVE 的底裤扒干净。
1.1 什么是 CVE
CVE 的全称是 Common Vulnerabilities and Exposures，通用漏洞与暴露。它不是一个漏洞数据库，而是一本字典。MITRE 公司维护它，给每个公开的漏洞发一个唯一编号。
你想想看，如果没有 CVE，大家怎么沟通？你说「那个 Apache 的漏洞」，我说「哪个 Apache 的漏洞？」——根本对不上。CVE 解决了这个痛点。
核心要点：CVE 不包含技术细节、修复方案、影响评估。它只做一件事：给漏洞一个全球通用的名字。
我在项目中遇到过客户问：「为什么 CVE 描述里没有 POC？」嗯，因为 CVE 本来就不该有。那是 NVD 或漏洞数据库干的事。
1.2 CVE 编号规则
CVE 编号的格式很简单：CVE-YYYY-NNNNN。
- CVE — 固定前缀，表示这是一个 CVE 条目
- YYYY — 四位年份，表示该编号被分配的年份
- NNNNN — 至少 4 位数字序列号，不足补零
举个例子：CVE-2024-3094。这是 2024 年分配的第 3094 个漏洞。注意，这个年份不一定是漏洞被发现的年份，而是编号被分配的年份。有时候厂商压着漏洞不报，编号年份可能比发现年份晚一两年。
一个小技巧：我个人习惯看编号的后几位。如果序列号很小（比如 0001-1000），说明这个漏洞被分配得很早，可能已经被研究透了。如果序列号很大（比如 90000+），说明是批量分配的，质量参差不齐。
编号的分配权在 CVE 编号授权机构（CNA）。每个 CNA 有自己的编号段。比如微软的 CNA 编号段是 10000-19999，所以 CVE-2024-10001 大概率是微软的漏洞。
| CNA 名称 | 编号段示例 | 覆盖范围 |
|---|---|---|
| MITRE | 0001-0999 | 通用、无明确 CNA 的漏洞 |
| Microsoft | 10000-19999 | 微软产品 |
| 20000-29999 | Android、Chrome 等 | |
| Apple | 30000-39999 | iOS、macOS 等 |
| Adobe | 40000-49999 | Acrobat、Flash 等 |
为什么会这样分配？说白了，是为了避免编号冲突。每个 CNA 管好自己的号段，MITRE 做总协调。
1.3 CVE 与 CWE 的关系
CVE 是「谁病了」，CWE 是「得了什么病」。CWE 全称 Common Weakness Enumeration，通用弱点枚举。它描述的是漏洞的根因类型。
举个例子：
- CVE-2024-3094 — 这是 XZ Utils 的后门漏洞
- CWE-506 — 嵌入恶意代码（Embedded Malicious Code）
CVE 告诉你「哪个软件有洞」，CWE 告诉你「这个洞是什么类型」。两者是互补关系，不是替代关系。
我在做漏洞分析时，经常先看 CWE。为什么？因为 CWE 能告诉我这个漏洞的攻击面。比如 CWE-79（XSS）和 CWE-119（缓冲区溢出），修复策略完全不同。CVE 编号只能告诉我「修哪里」，CWE 能告诉我「怎么修」。你想想看，哪个更重要？
注意：一个 CVE 可能对应多个 CWE。比如一个漏洞既有缓冲区溢出（CWE-119）又有权限提升（CWE-269）。这时候要以最严重的那个 CWE 为准。
我曾经踩过一个坑：看到一个 CVE 标记为 CWE-79（XSS），觉得优先级不高，结果实际利用链里它被用来执行远程代码。嗯，从那以后我养成了习惯——CWE 只是参考，具体危害要看实际利用场景。
1.4 CVE 数据库查询方法
查询 CVE 的渠道很多，我按使用频率排个序：
- NVD (National Vulnerability Database) — 美国政府的官方数据库，信息最全，有 CVSS 评分、CPE 匹配、参考链接
- MITRE CVE 官网 — 最原始的 CVE 记录，但信息量少
- VulDB / Exploit-DB — 社区维护，常有 POC 和利用代码
- GitHub Advisory Database — 开源项目友好，有修复 commit 链接
我个人最常用的是 NVD。它的查询语法很灵活，比如：
# 查询 2024 年 CVSS 9.0 以上的漏洞
cvssV3Severity:CRITICAL AND pubStartDate:2024-01-01
# 查询某个产品的漏洞
keyword:apache log4j
# 查询某个 CWE 类型
cweId:CWE-79查询技巧：别只搜 CVE 编号。我习惯用 CPE（通用平台枚举）来搜，比如 cpe:2.3:a:apache:log4j，这样能搜到所有相关版本，不会漏掉。
还有一个冷门但好用的方法：用 GitHub 的 CVE 监控。很多安全研究员会在 GitHub 上发布 CVE 的 PoC，搜索 CVE-2024- 加上关键词，经常能比 NVD 更早拿到情报。
1.5 知识体系总览
下面这张图把 CVE 的核心概念串起来了。我建议你把它存下来，后面每章都会用到这些基础概念。
这张图把 CVE 的三大核心要素串起来了：编号规则告诉你「怎么读」，CWE 关系告诉你「怎么理解」，查询方法告诉你「怎么用」。三者缺一不可。
好了，CVE 的基础认知就讲到这里。记住一句话：CVE 不是终点，是起点。后面我们会基于这个起点，一步步构建补丁优先级评估体系。