2025-04-16 - MITRE 也被砍预算了，如果没了 CVE，只看 CNVD 是不足够的

最新消息：美国政府为非营利研究巨头 MITRE 运营和维护其常见漏洞和暴露 （CVE） 计划提供的资金将于2025年4月16日到期！[1]

就是今天！

题图照旧是笔者自行拍摄。

CVE 是非常有价值的漏洞信息源和漏洞管理工具，其重要性对于网络安全相关人员来说不言而喻。

对于不太了解 CVE 的读者，简单说就是 CVE 是公共性质的漏洞识别、定义、编目和公开的事实标准工具[2]。自1999年启动以来，CVE 面向全球收录漏洞信息，已经维持运作了25年，属于互联网安全基石之一。

据称，被砍预算之后，MITRE 将会减少甚至暂停 CVE 的后续发布。虽然负责进行 CVE 编号的 VulnCheck 说会做好一定的应对措施比如保留 CVE 空白编号之类，但这和实际的 CVE 发布完全是两回事。

所以，可以肯定的是，除非预算恢复，否则新漏洞的发布速度会大幅度降低甚至停止，所有依赖于 CVE 实现漏洞管理的安全工具都会出问题。

从攻击侧看，这事情就等于是为攻击者创造了广泛的空窗期。

还有就是，CVE 的下游衍生项目 Common Weakness Enumeration（CWE） [3] 也会因此受到影响。

CWE 这个项目可能关注的人相对较少，但这个项目的重要性在于产生漏洞的实质影响、修复漏洞的工作优先级等风险评估关键参数，如果 CWE 一同停摆，不少网络安全风险评估模型就要重新确定。

最后就说到国内 CNVD 国家信息安全漏洞共享平台[4]。CNVD 主要面向国内网络环境，而且 CVND 定义的大部分漏洞和 CVE 并不重合，两者在信息源上是互补关系，所以没法简单地用 CNVD 直接取代 CVE 的真空期。