如何判断应用漏洞是否为误报

误报场景

• 同名软件包但不同厂商：多个厂商可能发布同名软件包，但实际是不同的产品。
• 用户自编译软件与开源软件同名：用户自行研发编译的软件，可能与存在漏洞的开源软件名称相同。

判断方法

1. 与业务侧沟通，确认该软件是内部自研还是外部开源。
   • 自研软件：可以确认为误报。
   • 开源软件：请执行2。
2. 访问NVD官网获取漏洞详情：https://nvd.nist.gov/vuln/detail/[CVE编号]。
3. 查看漏洞影响范围中的“Affected Products”或“Vendor”字段。
4. 记录该漏洞影响的厂商列表。
5. 查看漏洞软件所属的厂商，是否在4记录的厂商中，若不在则可确认为误报。