NVIDIA 会认真对待安全问题，并致力于快速评估和尽力解决。在收到安全问题的相关报告后，NVIDIA 会调配适当的资源进行分析、验证，并提供用于解决问题的纠正措施。
NVIDIA PSIRT – 漏洞管理 报告潜在安全漏洞 协调漏洞披露 订阅安全公告和更新 关于 NVIDIA 安全漏洞信息的媒体或 PR 质询 NVIDIA PSIRT 漏洞管理过程 使用通用漏洞评分系统 (CVSS) 评估安全风险 漏洞通信策略 安全公告 安全通知 漏洞补救 NVIDIA PSIRT Participation 客户权利：保修、支持和维护 免责声明
NVIDIA 产品安全事件响应团队 (PSIRT) 的目标是通过提供产品中漏洞的相关即时信息、指南和补救措施来最大限度降低客户面临的与安全漏洞关联的风险。NVIDIA PSIRT 是一个全球团队，负责管理与 NVIDIA 产品相关的安全漏洞信息的接收、调查、内部协调、补救和披露。
NVIDIA PSIRT 的一项主要职责是协调所有外部确定的 NVIDIA 产品漏洞的响应和披露。
NVIDIA 欢迎来自独立研究人员、业内组织、供应商、客户和其他关注产品安全的消息人员的报告。
如需了解有关如何报告潜在漏洞的更多信息，请访问“报告漏洞”页面。
NVIDIA 致力于遵循协调漏洞披露 (CVD)。CVD 是一种流程，在我们的产品中发现漏洞的独立报告人员可以通过此流程直接联系 NVIDIA，从而让我们有机会在该报告人员向公众披露相关信息之前对此漏洞进行调查和补救。
NVIDIA PSIRT 将在漏洞调查过程中与该报告人员进行合作，并酌情向其提供进展的最新情况。在该报告人员同意的情况下，NVIDIA PSIRT 可能会在我们的“致谢”页面上表彰其找到有效的产品漏洞并进行私密报告的行为。在客户受到保护后，该报告人员便可以公开讨论该漏洞。
通过遵循 NVIDIA 的 CVD，我们不仅能够保护我们的客户，同时还可以协调公众披露并相应地感谢报告人员发现相关漏洞。
如果所报告的漏洞涉及供应商产品，NVIDIA PSIRT 将直接通知该供应商，并与报告人员进行合作或聘请第三方协调中心。
可以在“NVIDIA 安全公告”页面上找到已发布的安全公告的列表。
强烈建议客户订阅 NVIDIA 安全公告通知，以便在 NVIDIA 安全公告初次发布或进行重大修改时及时获知。
您可以在此处订阅这些通知。
有关 NVIDIA 安全公告的信息，请参阅本文档的安全公告部分。
请联系此处列出的公司通讯联系人之一。
下图从高层次说明了 NVIDIA PSIRT 过程。
图 1. NVIDIA 产品安全事件响应团队过程
NVIDIA 目前使用通用漏洞评分系统版本 3.0 (CVSS v3.0) 来评估已确定漏洞的安全级别。CVSS 启用一种通用评分方法以及一种表述漏洞特征和影响的通用语言。CVSS 尝试建立一种度量漏洞的严重程度的方法。CVSS 模型使用三种不同的度量方法或评分，包括基本、时间和环境计算，每种都包含一组指标。可以在下列位置找到由事件响应和安全团队论坛 (FIRST) 维护的完整标准：https://www.first.org/cvss。
NVIDIA 遵循 CVSS v3.0 规范文档定性严重程度评定量表 (https://www.first.org/cvss/specification-document) 来定义严重程度评定，如下表中所示：
如果在 CVSS 评分中未正确获得附加因素，NVIDIA 将保留在特定情况下不遵循这些准则的权利。
在适用的情况下，NVIDIA 安全公告将提供 CVSS v3.0 基本分数，并且可能提供时间分数。NVIDIA 的风险评估基于各种已安装系统的平均风险，可能并不代表您本地安装的真正风险。
NVIDIA 建议咨询安全或 IT 专业人士以评估您特定配置的风险，并鼓励您根据网络参数计算环境分数。NVIDIA 建议所有客户考虑基本分数以及可能与其环境相关的任何时间和/或环境分数，以评估其总体风险。此整体分数表示特定时刻，针对您的特定环境。您应该使用安全或 IT 专业人士对问题的评估和此最终分数来对您自己环境中的响应措施安排优先级。
NVIDIA 将下列准则用于非第三方软件漏洞，以确定适当的表述计划：
如果 NVIDIA 产品中使用的第三方软件组件中存在安全问题，NVIDIA 可能会发布安全公告。如果针对第三方软件组件漏洞发出了安全公告，NVIDIA 通常会使用由组件创建者提供的 CVSS 评分。在某些情况下，NVIDIA 可能会调整 CVSS 评分，以反映对 NVIDIA 产品的影响。
在大多数情况下，NVIDIA 会在安全漏洞已有实际可行的变通方案或安全更新程序时通知客户。该通知将以定向通讯发送，或通过发布安全公告予以公布。发布安全公告前，NVIDIA PSIRT 将首先完成漏洞响应流程，并确定存在足够的软件更新程序或变通方案来解决漏洞，或者计划随后公开披露补救措施以解决漏洞。
安全公告提供能够让客户保护自己的充分详细信息，但不提供能够让恶意用户利用此信息的冗长详细信息，以此标准来尝试平衡正确的信息量。NVIDIA 安全公告通常包含以下适用信息：
除了安全公告和发行说明、知识库文章、常见问题等相关文档中提供的信息之外，NVIDIA 不会提供关于漏洞细节的其他信息。NVIDIA 不会散布已确定漏洞的利用/概念验证代码。
按照行业惯例，NVIDIA 不会与外部实体共享来自内部安全测试或其他类型安全活动的结果。必须注意的是，我们会将对 NVIDIA 安全生产系统的任何扫描视为攻击行为。如果您是 OEM 合作伙伴，请与 NVIDIA 程序管理员协调您的需求。
NVIDIA 安全公告会发布在“安全公告”页面上。您可以在此处订阅通知。
安全通知
在漏洞可能已受到大量公众关注、可能被利用或预期会被主动利用的情况下，NVIDIA 可能会发布特殊通讯以快速、恰当地对公众披露作出响应。在这种情况下，NVIDIA 可能会发送通讯，并且可能或不会提供一套完整的补丁或变通方案。这将标记为安全通知并在“安全公告”页面上发布。
NVIDIA 会认真对待安全问题，并致力于及时评估和快速解决。响应时间线将取决于很多因素，包括：严重程度、受影响产品、当前开发周期、QA 周期以及该问题是否只能在主要版本中更新。
补救措施可以采用下列一种或多种形式：
尽管如此，NVIDIA 仍不能保证提供特定的问题解决方法，且并非所有已确认的问题都能得到解决。
Proud Member of
NVIDIA is a CVE Numbering Authority.
在任何 NVIDIA 软件产品中，与保修、支持和维护（包括漏洞）相关的 NVIDIA 客户权利都受 NVIDIA 与每位客户之间的适用协议的约束。
此网页上的声明不会修改或扩展任何客户权利，也不会创造任何附加保修。提供给 NVIDIA 的关于 NVIDIA 产品中漏洞的任何信息（包括产品漏洞报告中的所有信息）应成为 NVIDIA 的专有信息。
NVIDIA PSIRT 过程和策略的所有方面如有变更，恕不另行通知，并将根据具体情况考虑。不保证对任何特定问题或问题类别作出响应。如果您使用文档的相关信息或文档中链接的资料，风险将由您自行承担。NVIDIA 有权随时更改或更新本文档，恕不另行通知。
所有 NVIDIA 信息、设计规范、参考板、文件、图纸、诊断信息、列表和其他文档（统称与单称均为“资料”）均按“原样”提供。NVIDIA 并未作出与资料相关的明示、暗含、法定或其他形式的保证，并在法律允许的最大范围内排除所有明示或暗含的条件、陈述和保证，包括任何对所有权、适销性、满意度质量、特定用途适用性及非侵权的任何暗含保证或条件。
信息在提供时被认为是准确和可靠的。但是，对使用此类信息的后果或因使用此类信息而可能造成的侵犯第三方专利权或其他权利的后果，NVIDIA Corporation 概不负责。文中并未以暗示的方式或者依据 NVIDIA Corporation 的任何专利或专利权授予许可证。本出版物中所述的规格如有变更，恕不另行通知。本出版物取替以前提供的所有信息。未经 NVIDIA Corporation 明确的书面同意，不得将 NVIDIA Corporation 产品用作生命支持设备或系统中的关键部件。