漏洞披露（CVD）流程与模板

这份文档讲什么

漏洞披露（Coordinated Vulnerability Disclosure，简称 CVD）是指厂商与漏洞报告者协调配合，从漏洞被发现到被修复并公开公告的全过程。

这份文档聚焦漏洞披露环节——不是完整的漏洞处理流程，而是回答三个问题：

1. 政策怎么定 — CVD 政策必须包含哪些内容
2. 渠道怎么建 — 安全主页、报告模板、保密机制怎么搭
3. 公告怎么发 — 安全公告必须写什么、发到哪里、什么情况可以延期

第一部分：CVD 政策要求

以下来自 prEN 40000-1-3 的两条核心条款。

5.3.3 [PRE-2] 协调漏洞披露政策

厂商必须在产品上市前就制定并发布 CVD 政策。

5.7.3 [RLS-2] 漏洞信息发布

漏洞修复后，厂商必须按 CVD 政策发布漏洞公告。

公告必含的 7 项内容

① 漏洞描述           — 这个漏洞是什么
② 漏洞标识符         — CVE 编号或内部编号
③ 受影响产品信息     — 产品名称、型号、版本
④ 潜在影响           — 攻击者能干什么
⑤ 严重程度           — CVSS 评分
⑥ 修复方案           — 升级到哪个版本、怎么升级
⑦ 发布日期和更新日期 — 什么时候发的、什么时候改的

延期发布条件（三个条件全部满足才可延期）

✅ 条件1：评估确定完全发布的安全风险 > 安全收益
✅ 条件2：已向用户提供漏洞信息，但攻击者无法利用该信息
✅ 条件3：已告知用户所有漏洞信息的公开披露日期

典型场景：漏洞修复补丁还在推送中，提前公开漏洞细节会让未更新的设备暴露在攻击下。此时可以先发一个「有漏洞、请尽快升级」的简短通知，等补丁推送率达标后再发完整公告。

第二部分：漏洞披露渠道建设

CVD 政策定好了，接下来要把配套基础设施搭起来。需要四样东西：

┌─────────────────────────────────────────────┐
│              漏洞披露渠道                    │
│                                             │
│  1. 安全主页      → 用户和报告者第一入口     │
│  2. 报告渠道      → 邮箱 + 电话 + PGP密钥     │
│  3. 漏洞报告模板  → 标准化收集信息           │
│  4. 安全公告页面  → 发布修复信息             │
└─────────────────────────────────────────────┘

1. 安全主页应该包含什么

安全主页是官网上的一个页面，对外说明厂商的安全承诺和漏洞处理方式。

必须包含的信息：

我们为产品提供至少 3 年的安全更新支持（从发布日起算）。对于特定型号，可能提供更长时间的支持。如果发现非常严重的安全漏洞，即使设备安全生命周期已结束，我们仍可能提供必要的安全修复。 > 我们欢迎任何人报告安全问题——安全研究人员、开发者、客户。 > 漏洞报告入口：[邮箱地址]   PGP 公钥：[下载链接]   安全公告：[公告列表链接]

2. 报告渠道与保密机制

3. 漏洞报告模板

提供一个标准化模板，让报告者按结构提交信息，减少来回沟通。

模板结构：

第三部分：安全公告模板

漏洞修复后发布的安全公告，必须包含法规要求的 7 项内容。以下是可直接使用的模板（中英双语）。

模板

Security Advisory [内部编号-YYYY-NNN]

1. 漏洞描述（Description）
   [用一段话描述漏洞是什么、怎么触发、能干什么]

2. 漏洞标识符（Identifier）
   内部编号：[SA-YYYY-NNN]
   CVE编号：CVE-YYYY-XXXX（如已分配）

3. 受影响产品（Affected Products）
   ┌──────────┬──────────┬──────────────┐
   │ 产品名称  │ 型号      │ 受影响版本    │
   ├──────────┼──────────┼──────────────┤
   │ [产品A]  │ [型号A]  │ ≤ vX.X.X     │
   │ [产品B]  │ [型号B]  │ ≤ vX.X.X     │
   └──────────┴──────────┴──────────────┘
   仅运行上述版本的产品受影响。

4. 潜在影响（Impact）
   - [影响1：如未授权远程控制]
   - [影响2：如用户隐私泄露]
   - [影响3：如被用于僵尸网络]

5. 严重程度（Severity）
   CVSS v3.1 评分：[X.X]（[Critical/High/Medium/Low]）

6. 修复方案（Remediation）
   ✅ 修复版本：
   [产品A] → [vX.X.X] 及以上
   [产品B] → [vX.X.X] 及以上

   ✅ 升级方式：
   [具体操作步骤]

   ✅ 临时缓解措施（如无法立即升级）：
   [如：禁用远程访问、限制网络访问等]

7. 发布日期（Release Date）
   [YYYY年MM月DD日]

8. 更新日期（Last Updated）
   [YYYY年MM月DD日]

9. 致谢（Acknowledgement）
   感谢 [报告者名称/昵称] 提供漏洞报告并进行负责任披露。

10. 联系方式（Contact）
    安全问题请联系：[security@example.com]

发到哪里

第四部分：漏洞披露完整流程图

把政策、渠道、模板串起来，就是一条完整的漏洞披露流程：

┌──────────────────────────┐
                    │    上市前：搭建渠道        │
                    │                          │
                    │  1. 发布 CVD 政策          │
                    │  2. 建安全主页             │
                    │  3. 开通报告邮箱+PGP       │
                    │  4. 准备报告模板           │
                    │  5. 准备公告模板           │
                    └────────────┬─────────────┘
                                 │
                                 ▼
              ┌──────────────────────────────────┐
              │        收到漏洞报告               │
              │  （来自研究者/客户/内部发现）      │
              └──────────────┬───────────────────┘
                             │
                             ▼
              ┌──────────────────────────────────┐
              │  24h 内确认收到                    │
              │  评估严重程度 → 排优先级           │
              └──────────────┬───────────────────┘
                             │
                             ▼
              ┌──────────────────────────────────┐
              │  验证 → 修复 → 测试补丁            │
              │  （参考 VHP 漏洞处理流程）         │
              │  全程与报告者保持状态更新          │
              └──────────────┬───────────────────┘
                             │
                             ▼
              ┌──────────────────────────────────┐
              │        发布安全公告                │
              │                                  │
              │  □ 人读格式（网页+PDF）            │
              │  □ 机读格式（CSAF JSON）          │
              │  □ 发布到 EUVD（通过 CVE）        │
              │  □ 通知受影响用户                  │
              │  □ 致谢报告者（如同意）            │
              └──────────────┬───────────────────┘
                             │
                   ┌─────────┴─────────┐
                   ▼                   ▼
          ┌──────────────┐    ┌──────────────────┐
          │ 正常发布      │    │ 延期发布           │
          │ （补丁已到位）│    │ （三个条件全满足） │
          └──────────────┘    └────────┬─────────┘
                                      │
                                      ▼
                          ┌──────────────────┐
                          │ 补丁推送率达标后  │
                          │ 发布完整公告      │
                          └──────────────────┘

第五部分：一页纸速查表

第六部分：常见误区