Calculateur CVSS 2.0
Le standard historique, encore affiché sur des centaines de milliers de fiches anciennes. Construisez le vecteur, et voyez ce que ce modèle ne savait pas exprimer.
Les six métriques du 2.0, et ce qui les distingue
Le CVSS 2.0 a noté les vulnérabilités de 2007 à 2015. Son vecteur de base compte six champs, et trois d’entre eux n’ont pas d’équivalent direct en 3.x.
| Champ 2.0 | Valeurs | En 3.1 |
|---|---|---|
| AV — Vecteur d’accès | Local, Adjacent, Réseau | Même idée, mais le 3.x ajoute l’accès Physique : en 2.0, brancher un câble se note Local. |
| AC — Complexité d’accès | Élevée, Moyenne, Faible | Le 3.x n’en garde que deux. La valeur Moyenne disparaît. |
| Au — Authentification | Multiple, Unique, Aucune | Remplacée par les privilèges requis : on mesure le niveau du compte, non le nombre de connexions. |
| C / I / A — Impacts | Aucune, Partielle, Complète | Devient Aucune / Faible / Élevée, et l’impact se mesure sur le composant, non sur l’hôte entier. |
Deux notions du 3.x sont purement absentes : la portée, donc l’idée qu’une faille puisse déborder du composant vulnérable, et l’interaction utilisateur, qui n’est pas un champ de base en 2.0. Une faille exigeant un clic de la victime n’est donc pas pénalisée : c’est l’une des raisons pour lesquelles les scores anciens paraissent gonflés.
Ce que le chiffre veut dire : trois bandes, pas cinq
| Score | Sévérité 2.0 | Ce que dirait le 3.1 |
|---|---|---|
| 7.0 – 10.0 | Élevée | Élevée ou Critique : la bande 2.0 fusionne les deux. |
| 4.0 – 6.9 | Moyenne | Moyenne. |
| 0.0 – 3.9 | Faible | Faible, ou aucune. |
Un cas déroulé : Heartbleed
CVE-2014-0160, la faille d’OpenSSL révélée en avril 2014, porte au NVD le vecteur 2.0 AV:N/AC:L/Au:N/C:P/I:N/A:N, pour un score de 5.0, sévérité « Moyenne ». Cinq sur dix, pour une faille qui a exposé les clés privées d’une part considérable du web.
L’explication tient dans le modèle : la fuite est partielle (on lit 64 kilo-octets de mémoire au hasard, pas la base entière), sans atteinte à l’intégrité ni à la disponibilité. Le 2.0 n’a aucun moyen d’exprimer que ces 64 kilo-octets contiennent parfois une clé privée. C’est précisément ce genre d’angle mort qui a motivé le 3.0. Chargez le cas dans le calculateur ci-dessus, puis passez la confidentialité à Complète : le score grimpe, et vous voyez d’un coup ce que le modèle ne savait pas dire.
Et concrètement, pour vous
Si vous reprenez un référentiel de risques antérieur à 2016 : gardez le score 2.0 comme trace historique, mais ne l’utilisez pas pour arbitrer. Renotez en CVSS 3.1 les vulnérabilités encore ouvertes, et vérifiez surtout si elles figurent au catalogue KEV : une faille de 2014 toujours présente dans un parc est bien plus souvent exploitée qu’une faille de l’an dernier.
Sources
- Guide complet CVSS 2.0 — FIRST.org.
- CVSS au NVD — les scores 2.0 des CVE anciennes.
Questions fréquentes
Le CVSS 2.0 est-il encore utilisé ?
Il n’est plus produit pour les nouvelles CVE, mais il reste affiché sur des centaines de milliers de fiches antérieures à 2016, dans des rapports d’audit, des exigences contractuelles et des référentiels internes jamais migrés. Vous le croiserez surtout en reprenant l’existant.
Pourquoi n’y a-t-il pas de sévérité « Critique » en 2.0 ?
Le 2.0 ne connaît que trois bandes : Faible de 0.0 à 3.9, Moyenne de 4.0 à 6.9, Élevée de 7.0 à 10.0. La bande Critique est une invention du 3.0. Un 9.8 noté en 2.0 s’appelle donc « Élevée », ce qui fait sous-estimer les failles anciennes quand on lit les étiquettes plutôt que les chiffres.
Peut-on convertir un score 2.0 en 3.1 ?
Non, et aucune table de conversion sérieuse n’existe. Les métriques diffèrent (authentification contre privilèges), les impacts n’ont pas la même granularité, et la 3.x a ajouté la portée. Il faut renoter la faille à partir de sa description technique.
Que couvre ce calculateur en 2.0 ?
Le score de base et le score temporel. Les métriques d’environnement du 2.0 (dommage collatéral potentiel, distribution des cibles, exigences de sécurité) ne sont pas proposées : elles demandent une estimation du parc que personne ne renseigne honnêtement, et leur absence ne change ni le score de base ni le score temporel.
Un score dit la gravité, pas si vous êtes concerné
TechWatchAlert rapproche chaque CVE de votre inventaire réel et classe d'abord ce qui est exploité.
Offre Free sans carte bancaire · hébergé en France