漏洞管理流程和机制

九有数据库在技术管理委员会下设有安全应急工作组，负责产品漏洞的管理和统筹工作。具体漏洞管理机制如下图示：

漏洞发现


本阶段是流程的起点，旨在广泛收集九有数据库可能存在的安全缺陷。

为此，九有数据库通过设立专用安全邮箱（anquan@unvdb.com）作为核心渠道，接收来自外部安全研究员、合作伙伴及用户的疑似漏洞报告。为确保漏洞能被快速确认与处理，上报时请包含以下信息： 1、基本信息：漏洞的触发条件，以及成功利用后对数据库系统造成的具体影响。 2、技术细节：相关的系统配置、漏洞定位方法、完整的问题重现步骤与证明。 3、修复建议：可供参考的修复方案或缓解思路。 4、您的信息：上报者所属组织及有效联系方式，以便我们及时反馈。

漏洞评估

本阶段旨在确认漏洞的真伪，并科学评定其潜在风险，为后续行动提供决策依据。
收到报告后，深圳九有数据安全应急小组将立即启动技术验证。我们将遵循行业广泛采用的 《通用漏洞评分系统（CVSS）》 标准，从利用难度、攻击复杂度以及对数据库机密性、完整性、可用性的影响等多个维度，对漏洞进行客观、标准的严重性评级。对于经评估判定为“非漏洞”的报告，我们将通过您预留的联系方式，及时说明具体判定结果与依据。

漏洞处置

本阶段是针对已验证确认的漏洞，采取技术措施进行应对的核心环节。我们承诺对通过官方渠道上报的漏洞实行全流程闭环跟踪。

1、初步响应

（1）在收到送测产品漏洞报告后的3 个工作日内，主动与漏洞上报者取得联系，同步漏洞初步判定结论，保障上报者的知情权，同时在内部漏洞跟踪系统中完成送测产品漏洞的专项建档；

2、分级修复执行：严格按照响应粒度要求，对不同等级的送测产品漏洞启动差异化修复流程，明确修复时限及交付物要求，确保修复工作有序推进：

（1）高风险漏洞：立即启动送测产品紧急响应流程，集中核心技术资源优先处置，15 天内提供针对性漏洞修复补丁，或给出可落地的临时安全防护建议，补丁需在送测产品独立测试环境中验证通过，最大限度降低漏洞利用风险；

（2）中风险漏洞：纳入送测产品优先开发修复计划，统筹研发资源专项处理，30 天内完成漏洞修复工作，形成正式修复方案及验证报告，确保漏洞及时闭环；

（3）低风险漏洞：结合后续常规版本更新计划，统筹安排漏洞修复，修复工作不影响产品正常迭代节奏，修复后在新版本中完成验证。

3、持续跟踪与闭环：所有漏洞的修复状态均会纳入内部跟踪系统，直至完全解决并达到披露标准。对于无法在目标时限内完成的复杂修复，我们将及时通告进展并提供临时缓解方案。

漏洞披露

本阶段是流程的闭环，负责将处置结果有序地通知各方，并完成知识沉淀。
为最大程度保护用户安全，我们遵循负责任的披露原则：

1、保密阶段：在漏洞完成调查、修复及安全公告准备前，相关信息将严格控制在必要处理人员范围内。我们暂不会公开讨论或确认相关安全问题，并恳请上报者协同保密，直至官方正式披露。

2、内部通知：送测产品漏洞修复完成并验证通过后，第一时间向公司内部相关部门、送测产品项目组发布内部通知，明确漏洞信息、修复方案、补丁获取方式及防护建议；

3、对外公告：修复方案（补丁 / 临时防护建议）就绪后，通过九有数据库官方网站及社区，及时发布送测产品专项安全公告，公告包含漏洞技术细节、CVSS 严重等级、受影响的送测产品版本、修复补丁下载地址及安装说明，并向漏洞发现者致谢；

4、平台提交：对于符合国家漏洞库收录标准的送测产品漏洞，在完成修复并发布公告后，由专项小组统一向 CNVD/CVE 等官方漏洞收录平台提交漏洞信息及修复结果，同步完成漏洞上报者的反馈工作。

 

公司安全公告

九有数据库每半年发布一次安全公告，阐述半年度发行的安全更新，解决的安全漏洞，提供补救措施

CVE

更多与 UNVDB 软件产品有关的 CVE 信息，请参阅CVE详情