1 网络安全漏洞分类
1.1 概述
网络安全漏洞分类是基于漏洞产生或触发的技术原因对漏洞进行的划分，分类导图如图所示。本标准采用树形导图对漏洞进行分类，首先从根节点开始，根据漏洞成因将漏洞归入某个具体的类别，如果该类型节点有子类型节点，且漏洞成因可以归入该子类型，则将漏洞划分为该子类型，如此递归，直到漏洞归入的类型无子类型节点或漏洞不能归入子类型为止。
1.2 代码问题
1.2.1 概述
此类漏洞指网络产品和服务的代码开发过程中因设计或实现不当而导致的漏洞。
1.2.2 资源管理错误
此类漏洞指因对系统资源（如内存、磁盘空间、文件、CPU 使用率等）的错误管理导致的漏洞。
1.2.3 输入验证错误
1.2.3.1 概述
此类漏洞指因对输入的数据缺少正确的验证而产生的漏洞。
1.2.3.2 缓冲区错误
此类漏洞指在内存上执行操作时，因缺少正确的边界数据验证，导致在其向关联的其他内存位置上执行了错误的读写操作，如缓冲区溢出、堆溢出等。
1.2.3.3 注入
1.2.3.3.1 概述
此类漏洞指在通过用户输入构造命令、数据结构或记录的操作过程中，由于缺乏对用户输入数据的正确验证，导致未过滤或未正确过滤掉其中的特殊元素，引发的解析或解释方式错误问题。
1.2.3.3.2 格式化字符串错误
此类漏洞指接收外部格式化字符串作为参数时，因参数类型、数量等过滤不严格，导致的漏洞。
1.2.3.3.3 跨站脚本
此类漏洞是指在 WEB 应用中，因缺少对客户端数据的正确验证，导致向其他客户端提供错误执行代码的漏洞。
1.2.3.3.4 命令注入
此类漏洞指在构造可执行命令过程中，因未正确过滤其中的特殊元素，导致生成了错误的可执行命令。
1.2.3.3.5 代码注入
此类漏洞指在通过外部输入数据构造代码段的过程中，因未正确过滤其中的特殊元素，导 致生成了错误的代码段，修改了网络产品和服务的预期的执行控制流。
1.2.3.3.6 SQL 注入
此类漏洞指在基于数据库的应用中，因缺少对构成 SQL 语句的外部输入数据的验证，导致生成并执行了错误的 SQL 语句。
1.2.3.4 路径遍历
此类漏洞指因未能正确地过滤资源或文件路径中的特殊元素，导致访问受限目录之外的位置。
1.2.3.5 后置链接
此类漏洞指在使用文件名访问文件时，因未正确过滤表示非预期资源的链接或者快捷方式的文件名，导致访问了错误的文件路径。
1.2.3.6 跨站请求伪造
此类漏洞指在 WEB 应用中，因未充分验证请求是否来自可信用户，导致受欺骗的客户端向服务器发送非预期的请求。
1.2.4 数字错误
此类漏洞指因未正确计算或转换所产生数字，导致的整数溢出、符号错误等漏洞。
1.2.5 竞争条件问题
此类漏洞指因在并发运行环境中，一段并发代码需要互斥地访问共享资源时，因另一段代码在同一个时间窗口可以并发修改共享资源而导致的安全问题。
1.2.6 处理逻辑错误
此类漏洞是在设计实现过程中，因处理逻辑实现问题或分支覆盖不全面等原因造成。
1.2.7 加密问题
此类漏洞指未正确使用相关密码算法，导致的内容未正确加密、弱加密、明文存储敏感信息等问题。
1.2.8 授权问题
1.2.8.1 信任管理问题
此类漏洞是因缺乏有效的信任管理机制，导致受影响组件存在可被攻击者利用的默认密码或者硬编码密码、硬编码证书等问题。
1.2.8.2 权限许可和访问控制问题
此类漏洞指因缺乏有效的权限许可和访问控制措施而导致的安全问题。
1.2.9 数据转换问题
此类漏洞是指程序处理上下文因对数据类型、编码、格式、含义等理解不一致导致的安全问题。
1.2.10 未声明功能
此类漏洞指通过测试接口、调试接口等可执行非授权功能导致的安全问题。例如，若测试命令或调试命令在使用阶段仍可用，则可被攻击者用于显示存储器内容或执行其他功能。
1.3 配置错误
此类漏洞指网络产品和服务或组件在使用过程中因配置文件、配置参数或因默认不安全的配置状态而产生的漏洞。
1.4 环境问题
1.4.1 概述
此类漏洞指因受影响组件部署运行环境的原因导致的安全问题。
1.4.2 信息泄露
1.4.2.1 概述
此类漏洞是指在运行过程中，因配置等错误导致的受影响组件信息被非授权获取的漏洞。
1.4.2.2 日志信息泄露
此类漏洞指因日志文件非正常输出导致的信息泄露。
1.4.2.3 调试信息泄露
此类漏洞指在运行过程中因调试信息输出导致的信息泄露。
1.4.2.4 侧信道信息泄露
此类漏洞是指功耗、电磁辐射、I/O 特性运算频率、时耗等侧信道信息的变化导致的信息泄露。
1.4.3 故障注入
此类漏洞是指通过改变运行环境（如温度、电压、频率等，或通过注入强光等方式）触发，可能导致代码系统数据或执行过程发生错误的安全问题。
1.5 其他
暂时无法将漏洞归入上述任何类别，或者没有足够充分的信息对其进行分类，漏洞细节未指明。
2 网络安全漏洞分级
2.1 概述
网络安全漏洞分级根据漏洞分级的场景不同，分为技术分级和综合分级两种分级方式，每种分级方式均包括超危、高危、中危和低危四个等级。其中，技术分级反映特定产品或系统的漏洞危害程度，用于从技术角度对漏洞危害等级进行划分，主要针对漏洞分析人员、产品开发人员等特定产品或系统漏洞的评估工作。综合分级反映在特定时期特定环境下漏洞危害程度，用于在特定 场景下对漏洞危害等级进行划分，主要针对用户对产品或系统在特定网络环境中的漏洞评估工作。漏洞技术分级和综合分级均可对单一漏洞进行分级，也可对多个漏洞构成的组合漏洞进行分级。
网络安全漏洞分级过程包括分级指标和分级方法两方面内容。分级指标主要阐述反映漏洞特征的属性和赋值，包括被利用性指标类、影响程度指标类和环境因素指标类等三类指标。分级方法主要阐述漏洞技术分级和综合分级的具体实现步骤和实现方法，包括漏洞指标类的分级方法、漏洞技术分级方法和漏洞综合分级方法。
2.2 网络安全漏洞分级指标
2.2.1 被利用性
2.2.1.1 访问路径
“访问路径”是指触发漏洞的路径前提，反映漏洞触发时与受影响组件最低接触程度。访问路径的赋值包括：网络、邻接、本地和物理。通常因网络、邻接、本地和物理触发的漏洞，其被利用性程度由高到低依次降序，见表 1。
2.2.1.2 触发要求
“触发要求”是指漏洞成功触发的要求，反映受影响组件在系统环境的版本、配置等因素影响下，成功触发漏洞的要求。触发要求的赋值包括：低、高。通常触发要求低的漏洞危害程度高，见表 2。
2.2.1.3 权限需求
“权限需求”是指触发漏洞所需的权限，反映漏洞成功触发需要的最低的权限。权限需求的赋值包括：无、低和高。通常所需要的权限越少漏洞危害程度越高，见表 3。
2.2.1.4 交互条件
“交互条件”是指漏洞触发是否需要其他主体（如：系统用户、外部用户、其他系统等）的参与、配合，反映漏洞触发时，是否需要除触发漏洞的主体之外的其他主体参与。
交互条件的赋值包括： 不需要需要。通常不需交互条件即能触发的漏洞，其危害程度较高，见表 4。
2.2.2 影响程度
“影响程度”指触发漏洞对受影响组件造成的损害程度。影响程度根据受漏洞影响的各个对象所承载信息的保密性、完整性、可用性等三个指标决定，每个指标的影响赋值 为：严重、一般和无，见表 5、表 6、表 7。
“保密性影响”指标反映漏洞对受影响实体（如：系统、模块、软硬件等）承载（如：处理、存储、传输等）信息的保密性的影响程度。
“完整性影响”指标反映漏洞对受影响实体（如：系统、模块、软硬件等）承载（如：处理、存储、传输等）信息的完整性的影响程度，“可用性影响”指标反映漏洞对受影响实体（如：系统、模块、软硬件等）承载（如：处理、存储、传输等）信息的可用性的影响程度。
2.2.3 环境因素
2.2.3.1 被利用成本
被利用成本包括：低、中、高。通常成本越低，漏洞的危害越严重，如表 8 所示。“被利用成本”指标反映，在参考环境下（例如：当前全球互联网环境，或者某企业内网环境等），漏洞触发所需的成本，例如：是否有公开的漏洞触发工具、漏洞触发需要的设备是否容易获取等。
2.2.3.2 修复难度
修复难度包括：高、中、低。通常漏洞修复的难度越高，危害越严重，如表 9 所示。“修复难度”指标反映，在参考环境下（例如当前全球互联网环境，或者某企业内网环境等），修复漏洞所需的成本。
2.2.3.3 影响范围
影响范围包括：高、中、低、无。通常漏洞对环境的影响越高，危害越严重，如表 10所示。影响范围指标描述反映漏洞触发对环境的影响，漏洞受影响组件在环境中的重要性。
2.3网络安全漏洞分级方法
2.3.1 概述
网络安全漏洞分级是指采用分级的方式对网络安全漏洞潜在危害的程度进行描述，包括技术分级和综合分级两种分级方式，每种方式均分为超危、高危、中危和低危四个等级，具体内容如下：
——超危：漏洞可以非常容易地对目标对象造成特别严重后果；
——高危：漏洞可以容易地对目标对象造成严重后果；
——中危：漏洞可以对目标对象造成一般后果，或者比较困难地对目标造成严重后果；
——低危：漏洞可以对目标对象造成轻微后果，或者比较困难地对目标对象造成一般严重后果，或者非常困难地对目标对象造成严重后果。
漏洞分级过程主要包括最初的指标赋值、中间的指标分级和最后的分级计算三个步骤，其中，指标赋值是对根据具体漏洞对每个漏洞分级指标进行人工赋值；指标分级是根据指标赋值结果别对被利用性、影响程度和环境因素等三个指标类进行分级；分级计算是根据指标分级计算产生技术分级或综合分级的结果，技术 分级结果由被利用性和影响程度两个指标类计算产生，综合分级由被利用性、影响程度和环境因素三个指标类计算产生。
2.3.2 网络安全漏洞指标分级
2.3.2.1 被利用性分级
被利用性分级反映网络安全漏洞触发的技术可能性。被利用性指标组中各指标的不同取值的组合 对应不同的被利用性级别。被利用性级别分为 9 级，用 1~9 的数字表示，数 值越大被利用的可能性越高，见附录 A。
2.3.2.2 影响程度分级
影响程度分级反映网络安全漏洞触发造成的危害程度。影响程度指标组中各指标的不同取值的组合对应不同的影响程度级别。不同的影响程度级分为 9 级，用 1~9 的数字表示，数值越大导致的危害程度越高，见附录 B。
2.3.2.3 环境因素分级
环境因素是对漏洞进行分级是需要考虑的漏洞所处的网络环境、当前漏洞被利用的技术程度等外部环境。环境因素分级反映在参考环境下，漏洞的危害程度。环境因素指标组中各指标的不同取值的组合对应不同的环境因素级别。不同的环境因素级别分为 9 级，用 1~9的数字表示，数值越大环境因素导致的漏洞危害程度越高，见附录 C。
2.3.3 网络安全漏洞技术分级
网络安全漏洞技术分级分为：超 危、高危、中危、低危四个级别。网络安全漏洞技术分级由被利用性和影响程度两个指标类决定，漏洞被利用可能性越高（被利用性分级越高）、影响程度越严重（影响程度 分级越高），漏洞技术分级的级别越高（漏洞危害程度越大）。漏洞技术分级方法如下：
首先，对被利用性指标进行赋值，根据赋值结果，按照附录 A 计算得到漏洞被利用性分级；
然后，对影响程度指标进行赋值，根据赋值结果，按照附录 B 计算得到影响程度分级；
最后，根据被利用性和影响程度分级的结果，按照附录 D，计算得到网络安全漏洞技术分级。
2.3.4 网络安全漏洞综合分级
网络安全漏洞综合分级分为：超危、高危、中危、低危四个级别。网络安全漏洞综合分级由被利用性、影响程度和环境因素三个指标类决定，漏洞被利用可能性越高（被利用性分级越高）、影响程度越严重（影响程度分级越高），环境对漏洞影响越敏感（环境因素分级越高），漏洞综合分级的级别越高（漏洞危害程度越大）。漏洞综合分级方法如下：
首先，对漏洞进行技术分级，根据前述漏洞技术分级步骤，对被利用性指标进行赋值，根赋值结果，按照附录 A 计算得到漏洞被利用性分级；对影响程度指标进行赋值，根据赋值结果，按照附录 B 计算得到影响程度分级；根据被利用性和影响程度分级的结果，按照附录 D，计算得到网络安全漏洞技术分级。
然后，对环境因素指标进行赋值，根据赋值结果，按照附录 C 计算得到漏洞环境因素分级。
最后，根据技术分级和环境因素分级的结果，按照附录 E，计算得到网络安全漏洞综合分级，漏洞分级示例参见附录 F。
暂无评论内容