通用软件漏洞收集及奖励计划第三期

产品名

厂商名

产品类型

360终端安全管理系统

三六零数字安全科技集团有限公司

A

安恒明御终端安全及防病毒系统

杭州安恒信息技术股份有限公司

A

火绒终端安全管理系统

北京火绒网络科技有限公司

A

绿盟终端检测与响应系统

绿盟科技集团股份有限公司

A

奇安信天擎终端安全管理系统

奇安信科技集团股份有限公司

A

启明星辰终端高级威胁检测与响应系统

启明星辰信息技术集团股份有限公司

A

青藤万相主机自适应安全平台

北京升鑫网络科技有限公司(青藤云安全)

A

深信服终端安全管理系统EDR

深信服科技股份有限公司

A

天融信终端威胁防御系统

北京天融信科技股份有限公司

A

OneEDR

北京微步在线科技有限公司

A

阿里云Web应用防火墙

阿里云计算有限公司

A

安恒明御Web应用防火墙WAF

杭州安恒信息技术股份有限公司

A

安全狗云御Web应用防火墙

厦门服云信息科技有限公司

A

奇安信安域WEB应用安全云防护系统

奇安信科技集团股份有限公司

A

启明星辰天清Web应用安全网关

启明星辰信息技术集团股份有限公司

A

腾讯云Web应用防火墙

腾讯云计算(北京)有限责任公司

A

天融信Web应用安全防护系统

北京天融信科技股份有限公司

A

知道创宇创宇盾(WAF)

北京知道创宇信息技术股份有限公司

A

安恒明御综合日志审计平台

杭州安恒信息技术股份有限公司

A

安恒明御安全网关(DAS-Gateway)

杭州安恒信息技术股份有限公司

A

迪普科技防火墙

杭州迪普科技股份有限公司

A

海康威视下一代防火墙

杭州海康威视数字技术股份有限公司

A

华为USG防火墙

华为技术有限公司

A

绿盟NF防火墙

绿盟科技集团股份有限公司

A

奇安信网神新一代智慧防火墙

奇安信科技集团股份有限公司

A

启明星辰天清汉马USG防火墙

启明星辰信息技术集团股份有限公司

A

山石网科下一代防火墙

山石网科通信技术股份有限公司

A

深信服下一代防火墙AF

深信服科技股份有限公司

A

天融信NGFW下一代防火墙

北京天融信科技股份有限公司

A

Cisco-ASA

Cisco

A

FortiGate(NGFW)

Fortinet

A

Juniper-Firewalls

Juniper

A

迪普科技VPN

杭州迪普科技股份有限公司

A

金万维-天联

北京金万维科技有限公司

A

金万维-异速联

北京金万维科技有限公司

A

绿盟安全认证网关(NSFOCUS SAG)

绿盟科技集团股份有限公司

A

奇安信安全接入网关系统(SSL VPN)

奇安信科技集团股份有限公司

A

启明星辰天清汉马VPN安全网关

启明星辰信息技术集团股份有限公司

A

深信服零信任访问控制系统aTrust

深信服科技股份有限公司

A

深信服SSL-VPN

深信服科技股份有限公司

A

天融信VPN

北京天融信科技股份有限公司

A

网御VPN综合安全网关系统

北京网御星云信息技术有限公司

A

Cisco-AnyConnect-VPN

Cisco

A

Citrix-Access-Gateway

Citrix

A

H3C-SecPath-SSL安全网关

新华三集团(H3C)

A

SonicWall-SSL-VPN

SonicWall

A

吉大正元身份认证网关

吉大正元信息技术股份有限公司

A

绿盟科技认证系统UIP

绿盟科技集团股份有限公司

A

竹云统一身份管理平台(BIM)

深圳竹云科技股份有限公司

A

Apereo-CAS

开源软件

A

绿盟网络入侵检测系统NIDS

绿盟科技集团股份有限公司

A

奇安信天眼威胁监测与分析系统

奇安信科技集团股份有限公司

A

绿盟网络入侵防护系统NIPS

绿盟科技集团股份有限公司

A

绿盟数据泄露防护系统(NSFOCUS DLP)

绿盟科技集团股份有限公司

A

启明星辰天清汉马USG数据防泄露系统

启明星辰信息技术集团股份有限公司

A

天融信数据防泄漏系统(DLP)

北京天融信科技股份有限公司

A

亿赛通新一代数据泄露防护系统(DLP)

北京亿赛通科技发展有限责任公司

A

奇安信网络安全审计系统

奇安信科技集团股份有限公司

A

启明星辰天玥网络安全审计系统

启明星辰信息技术集团股份有限公司

A

绿盟上网行为管理系统(SAS-W)

绿盟科技集团股份有限公司

A

奇安信上网行为管理系统

奇安信科技集团股份有限公司

A

启明星辰天玥网络安全审计系统-互联网行为管控

启明星辰信息技术集团股份有限公司

A

深信服全网行为管理AC

深信服科技股份有限公司

A

天融信上网行为管理系统

北京天融信科技股份有限公司

A

山石网科应用交付AX

山石网科通信技术股份有限公司

A

深信服应用交付AD

深信服科技股份有限公司

A

Citrix-NetScaler

Citrix

A

天融信负载均衡系统

北京天融信科技股份有限公司

A

F5-BIG-IP

F5

A

联软UniDES文档安全管理系统

深圳市联软科技股份有限公司

A

奇安信网神电子文档安全管理系统

奇安信科技集团股份有限公司

A

亿赛通新一代电子文档安全管理系统(CDG)

北京亿赛通科技发展有限责任公司

A

VMWare-WorkSpace-ONE

VMware

A

联软UniNAC网络准入控制系统

深圳市联软科技股份有限公司

A

奇安信网神网络安全准入系统

奇安信科技集团股份有限公司

A

Nacos

阿里巴巴

B

OpenStack

开源软件

B

Apache-ActiveMQ

Apache

B

Apache-Kafka

Apache

B

Apache-RocketMQ

Apache

B

RabbitMQ

VMware

B

Canal-Admin

阿里巴巴

B

金蝶天燕

金蝶软件(中国)有限公司

B

Adobe-ColdFusion

Adobe

B

Apache-Tomcat

Apache

B

GlassFish

Eclipse

B

JBoss-WildFly

RedHat

B

Jetty

Eclipse

B

Microsoft-SharePoint

Microsoft

B

OpenResty

开源软件

B

Primeton-EOS-Platform

普元信息技术股份有限公司

B

Resin

CAUCHO

B

TongWeb

东方通

B

Weblogic

Oracle

B

WebSphere

IBM

B

Apache-Hadoop

Apache

B

Apache-Solr

Apache

B

Apache-Spark

Apache

B

Elasticsearch

Elastic

B

Kibana

Elastic

B

Logstash

Elastic

B

360运维安全管理系统(堡垒机)

三六零数字安全科技集团有限公司

C

安恒明御运维审计与风险控制系统

杭州安恒信息技术股份有限公司

C

宝塔面板

广东堡塔安全技术有限公司

C

华为云-云堡垒机CBH

华为技术有限公司

C

绿盟运维安全管理系统OSMS

绿盟科技集团股份有限公司

C

帕拉迪堡垒机SMS

杭州帕拉迪网络科技有限公司

C

奇安信网神运维审计系统

奇安信科技集团股份有限公司

C

启明星辰天玥运维安全网关

启明星辰信息技术集团股份有限公司

C

思福迪堡垒机(LogBase)

杭州思福迪信息技术有限公司

C

天融信运维安全审计系统

北京天融信科技股份有限公司

C

行云管家堡垒机

深圳市行云绽放科技有限公司

C

云匣子堡垒机

深圳云安宝科技有限公司

C

中新金盾安全管理与运维审计系统

中新网络信息安全股份有限公司

C

H3C-SecPath运维审计系统

新华三集团(H3C)

C

JumpServer堡垒机

杭州飞致云信息科技有限公司

C

RIS-ACA齐治访问控制审计系统

浙江齐治科技股份有限公司

C

Teleport堡垒机

开源软件

C

WDCP云主机管理系统

金华市矜贵网络科技有限公司

C

Apache-Ambari

Apache

C

xxl-job

开源软件

C

Cacti

Cacti

C

Grafana

Grafana Labs

C

Nagios

Nagios

C

Prometheus

开源软件

C

Sunfire

阿里巴巴

C

Zabbix

Zabbix

C

Ansible

RedHat

C

SaltStack

SaltProject

C

华为FusionAccess

华为技术有限公司

D

瑞友天翼应用D

西安瑞友信息技术资讯有限公司

D

深信服aDesk

深信服科技股份有限公司

D

Citrix-VDI

Citrix

D

VMware-Horizon

VMware

D

oVirt

开源软件

D

VMware-ESXi

VMware

D

VMware-vCenter

VMware

D

VMware-vSphere

VMware

D

35企业邮箱

厦门三五互联科技股份有限公司

E

263企业邮箱

北京二六三企业通信有限公司

E

阿里企业邮箱

阿里巴巴

E

腾讯企业邮箱

腾讯控股有限公司

E

网易企业邮箱

广州网易计算机系统有限公司

E

亿邮电子邮件系统

北京亿中邮信息技术有限公司(亿邮通讯)

E

中企全球邮

中企动力科技股份有限公司

E

AnyMacro-Mail

北京安宁创新网络科技股份有限公司

E

Coremail

广东盈世计算机科技有限公司

E

Cwindow政务安全邮箱系统

北京国信安邮科技有限公司

E

Eastnet-Mail

北京东方网景网络技术有限公司

E

Exchange

Microsoft

E

Richmail

深圳市彩讯科技有限公司

E

TurboMail

广州拓波软件科技有限公司

E

U-Mail

深圳市福洽科技有限公司

E

Winmail

苏州华兆科技有限公司

E

Zimbra

Zimbra

E

大华视频监控平台

浙江大华技术股份有限公司

E

大华智慧园区综合管理平台

浙江大华技术股份有限公司

E

大华DSS智能监控平台

浙江大华技术股份有限公司

E

方正畅享全媒体新闻采编系统

北京北大方正电子有限公司

E

海康威视智能安防运营管理软件

杭州海康威视数字技术股份有限公司

E

海康威视综合安防管理平台

杭州海康威视数字技术股份有限公司

E

拓尔思媒资管理系统(TRS MAS)

拓尔思信息技术股份有限公司

E

拓尔思内容协作平台(TRS WCM)

拓尔思信息技术股份有限公司

E

拓尔思信息发布应用服务器系统(TRS WAS)

拓尔思信息技术股份有限公司

E

万户ezEIP(企业网站管理系统)

北京万户网络技术有限公司

E

AnyShare企业云盘

上海爱数信息技术股份有限公司

E

EasySite内容管理平台

北京中科汇联科技股份有限公司

E

JCMS

大汉软件股份有限公司

E

JEECMS

江西金磊科技发展有限公司

E

JeeSite

济南卓源软件有限公司

E

PHPCMS

开源软件

E

ThinkCMF

开源软件

E

WordPress

WordPress

E

帆软报表

帆软软件有限公司

E

久其通用财表系统

北京久其软件股份有限公司

E

润乾报表

北京润乾信息系统技术有限公司

E

用友BIP

用友网络科技股份有限公司

E

用友YonBIP

用友网络科技股份有限公司

E

致远协同数据分析云

北京致远互联软件股份有限公司

E

SmartBI

广州思迈特软件有限公司

E

泛微e-bridge

上海泛微网络科技有限公司

E

泛微e-cology

上海泛微网络科技有限公司

E

泛微e-cology运维管理平台

上海泛微网络科技有限公司

E

泛微e-Mobile

上海泛微网络科技有限公司

E

泛微e-nation

上海泛微网络科技有限公司

E

泛微e-office

上海泛微网络科技有限公司

E

国泰新点软件epoint

国泰新点软件股份有限公司

E

红帆iOffice20

广州红帆科技有限公司

E

华天动力OA8000

大连华天软件有限公司

E

金蝶OA

金蝶软件(中国)有限公司

E

金和OA-C6

北京金和网络股份有限公司

E

金和OA-JC6

北京金和网络股份有限公司

E

九思OA

北京九思协同软件有限公司

E

蓝凌EIS

深圳市蓝凌软件股份有限公司

E

蓝凌KK

深圳市蓝凌软件股份有限公司

E

蓝凌MK

深圳市蓝凌软件股份有限公司

E

蓝凌OA

深圳市蓝凌软件股份有限公司

E

通达OA

北京通达信科科技有限公司

E

万户FlexOffice

北京万户网络技术有限公司

E

致远M3协同办公平台

北京致远互联软件股份有限公司

E

致远OA-A6+协同管理平台

北京致远互联软件股份有限公司

E

致远OA-A8+协同管理平台

北京致远互联软件股份有限公司

E

致远OA-G6政务协同管理平台

北京致远互联软件股份有限公司

E

红海云eHR

广州红海云计算股份有限公司

E

宏景eHR

北京宏景世纪软件股份有限公司

E

金蝶s-HR-Cloud

金蝶软件(中国)有限公司

E

宏景HCM

北京宏景世纪软件股份有限公司

E

金蝶云星瀚

金蝶软件(中国)有限公司

E

金蝶云星空

金蝶软件(中国)有限公司

E

金蝶EAS

金蝶软件(中国)有限公司

E

浪潮GS-Cloud

浪潮集团

E

浪潮inSuite

浪潮集团

E

明源云ERP

深圳市明源云科技有限公司

E

用友GRP-U8

用友网络科技股份有限公司

E

用友NC

用友网络科技股份有限公司

E

用友NC-Cloud

用友网络科技股份有限公司

E

用友T+Cloud

用友网络科技股份有限公司

E

用友U8-Cloud

用友网络科技股份有限公司

E

用友U8+

用友网络科技股份有限公司

E

用友U9

用友网络科技股份有限公司

E

用友U9-Cloud

用友网络科技股份有限公司

E

Apache-OFBiz

Apache

E

契约锁

上海亘岩网络科技有限公司

E

章管家-印章智慧管理平台

上海建业信息科技股份有限公司

E

微宏ECM协同管理平台

杭州微宏科技有限公司

E

紫光档案管理系统

北京紫光慧图信息技术有限公司

E

Atlassian-Confluence

Atlassian

E

DokuWiki

开源软件

E

I-Doc-View

北京卓软在线信息技术有限公司

E

kkFileView

上海凯京信达科技集团有限公司

E

ShowDoc

ShowDoc

E

六台阶客户管理系统(6-SoftCRM)

天津鸿软通联信息技术有限公司

E

悟空CRM

郑州卡卡罗特软件科技有限公司

E

用友CRM

用友网络科技股份有限公司

E

智齿客服系统

北京智齿数汇科技有限公司

E

Any800全渠道智能客服云平台

上海久科信息技术有限公司

E

海康威视摄像头

杭州海康威视数字技术股份有限公司

F

Alibaba-Druid

阿里巴巴

G

Apache-Axis2

Apache

G

Apache-Shiro

Apache

G

Fastjson

阿里巴巴

G

Jackson

开源软件

G

Swagger

SmartBear

G

Xstream

开源软件

G

YApi接口管理平台

开源软件

G

phpMyAdmin

开源软件

G

禅道

青岛易软天创网络科技有限公司

H

Atlassian-Jira

Atlassian

H

Gitblit

开源软件

H

Gitee

深圳奥思网络科技有限公司

H

Gitlab

GitLab

H

Gogs

开源软件

H

SonarQube

Sonar

H

Harbor

开源软件

H

Jenkins

开源软件

H

MinIO

MinIO

H

Nexus-Repository-Manager

Sonatype

H

驰聘BPM

济南驰骋信息技术有限公司

I

力软敏捷开发框架

力软信息技术(苏州)有限公司

I

若依(RuoYi)

开源软件

I

JeecgBoot

北京敲敲云科技有限公司

I

Apache-Struts2

Apache

I

Apache-Tapestry

Apache

I

Django

开源软件

I

Flask

开源软件

I

Laravel

开源软件

I

RichFaces

RedHat

I

SpringBoot

VMware

I

ThinkPHP

上海顶想信息科技有限公司

I

Apache-APISIX

Apache

J

kong

Kong

J

Apache-Http-Server

Apache

J

Nginx

F5

J

计分类型

基础分类型

基础分值名

说明

漏洞基础分（满分10分，评分权重40%）

攻击矢量（AV）

• 远程网络

• 相邻网络

• 本地攻击

• 物理方式

该指标反映了利用漏洞的可能性。基础分值越高，攻击者利用漏洞组件的距离就越远（逻辑上和物理上）。

攻击复杂度（AC）

• 低（L）

• 高（H）

攻击者使用该漏洞成功所需付出的努力。

权限要求（PR）

• 无（N）

• 低（L）

• 高（H）

该指标描述了攻击者在成功利用漏洞之前必须拥有的权限级别。

用户交互（UI）

• 不需要（N）

• 需要（P）

该指标反映了除攻击者之外的其他用户参与成功入侵漏洞组件的要求。这一指标决定了漏洞是否可以完全按照攻击者的意愿被利用，或者是否必须有一个单独的用户（或用户启动的进程）以某种方式参与。

影响范围（S）

• 未改变（U）

• 改变（C）

成功的攻击是否会影响易受攻击组件以外的其他组件？如果是，则基础分值增加，保密性、完整性和身份验证指标应相对于受影响的组件进行评分。

机密性（C）

• 高（H）

• 低（L）

• 无（N）

机密性是指限制只有授权用户才能访问和披露信息，以及防止未经授权的用户访问或披露信息。

完整性（I）

• 高（H）

• 低（L）

• 无（N）

完整性是指信息的可信度和真实性。

可用性（A）

• 高（H）

• 低（L）

• 无（N）

可用性指的是受影响组件本身可用性的损失，如网络服务（如网络、数据库、电子邮件）。由于可用性是指信息资源的可访问性，因此消耗网络带宽、处理器周期或磁盘空间的攻击都会影响受影响组件的可用性。

漏洞威胁及利用评分（满分10分，评分权重60%）

漏洞攻击价值（总分3分）

• 高

• 中

• 低

• 无价值

• 漏洞攻击价值用于评价漏洞利用后可能造成多大影响：是否可被非法攻击者获取有价值的数据或获取有价值的权限。数据来源于威胁情报数据

• 漏洞攻击价值会以该产品的历史漏洞所关联的威胁情报进行综合评定

• 该评级会根据具体威胁情报数据进行独立评价

漏洞利用价值（总分7分）

• 影响版本范围

• 空间测绘影响面：

  • 极高（空间测绘统计数量大于等于10w）

  • 高（空间测绘统计数量大于等于2w，小于10w）

  • 中（空间测绘统计数量大于等于4k，小于2w）

  • 低（空间测绘统计数量小于4k）

• 威胁情报

• 是否存在权限限制

• 是否需要用户交互

• 是否需要环境预设

• 漏洞利用过程复杂度

• 漏洞利用价值用于评价漏洞的真实影响面，真实影响面包括：

  • 漏洞真实影响范围

  • 漏洞在真实环境中被利用的可能性

  • 漏洞本身的具体限制

  • 漏洞利用过程的复杂度

• 漏洞利用价值会综合漏洞具体细节，利用条件，产品的空间测绘影响面及威胁情报进行综合评估

产品类型

严重漏洞奖励范围

高危漏洞奖励范围

中危漏洞奖励范围

低危漏洞奖励范围

A

最高500000元

最高50000元

最高5000元

视具体情况而定

B

最高350000元

最高50000元

最高5000元

视具体情况而定

C

最高200000元

最高50000元

最高5000元

视具体情况而定

D

最高500000元

最高100000元

最高5000元

视具体情况而定

E

最高500000元

最高20000元

最高5000元

视具体情况而定

F

最高10000元

最高5000元

最高3000元

视具体情况而定

G

最高200000元

最高50000元

最高5000元

视具体情况而定

H

最高50000元

最高30000元

最高5000元

视具体情况而定

I

最高100000元

最高50000元

最高5000元

视具体情况而定

J

视具体情况而定

视具体情况而定

视具体情况而定

视具体情况而定