Calculateur CVSS 3.0
Pour reproduire un score publié entre 2015 et 2019, ou vérifier une fiche d’audit ancienne. Mêmes métriques que la 3.1, deux corrections de formule — et un écart mesuré.
La seule différence réelle avec le 3.1
Le CVSS 3.0 et le 3.1 partagent les mêmes métriques, les mêmes valeurs et la même forme de vecteur : seul le préfixe change. La révision de juin 2019 n’a corrigé que deux points de formule.
- Une fonction d’arrondi réécrite en arithmétique entière, pour que deux implémentations du même vecteur cessent de donner deux chiffres différents à cause des nombres à virgule flottante.
- La formule de l’impact modifié, dans le score environnemental, quand la portée est modifiée.
Un exemple à vérifier vous-même : AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:H avec l’exigence de confidentialité à Faible vaut 9.6 en 3.0 et 9.5 en 3.1. Collez-le ici, puis dans le calculateur 3.1.
Ce que le chiffre veut dire
Les bandes de sévérité du 3.0 sont celles du 3.1, à l’identique.
| Score | Sévérité | Ce que ça veut dire en pratique |
|---|---|---|
| 9.0 – 10.0 | Critique | Compromission complète, souvent sans compte ni clic. Une exploitation réussie ne laisse rien debout. |
| 7.0 – 8.9 | Élevée | Impact lourd, mais une condition manque : un compte, un clic, un accès local. |
| 4.0 – 6.9 | Moyenne | Impact partiel, ou plusieurs conditions à réunir. |
| 0.1 – 3.9 | Faible | Fuite mineure, déni de service limité, ou exploitation très contrainte. |
| 0.0 | Aucune | Aucun impact déclaré sur la confidentialité, l’intégrité ni la disponibilité. |
Et concrètement, pour vous
Cette page sert deux usages, et seulement deux : reproduire à l’identique un score publié entre 2015 et 2019, et vérifier une fiche d’audit ancienne dont le vecteur porte CVSS:3.0/. Pour noter une faille aujourd’hui, prenez le calculateur 3.1 ; pour une CVE publiée avec un vecteur 4.0, prenez le calculateur 4.0.
Sources
- Spécification CVSS 3.0 — FIRST.org.
- Guide utilisateur CVSS 3.1 — la section qui détaille les deux changements de formule.
Questions fréquentes
Quand a-t-on besoin du 3.0 plutôt que du 3.1 ?
Pour reproduire un score publié entre juin 2015 et juin 2019, ou pour vérifier une fiche d’audit ancienne. Pour tout le reste, prenez le calculateur 3.1 : c’est la version que publient le NVD et les CNA aujourd’hui.
Un vecteur 3.0 est-il valide en 3.1 ?
Les champs et les valeurs sont rigoureusement identiques : seul le préfixe change, CVSS:3.0/ contre CVSS:3.1/. Vous pouvez coller un vecteur 3.0 dans le calculateur 3.1, et l’inverse. Le préfixe reste une information à conserver : il date le score.
Le score de base peut-il différer entre 3.0 et 3.1 ?
Nous avons calculé les 2 592 vecteurs de base possibles dans les deux versions : aucun écart. Sur le score de base, 3.0 et 3.1 donnent toujours le même chiffre. L’écart n’apparaît que sur le score environnemental, et seulement quand la portée est modifiée.
Faut-il recalculer nos anciens scores ?
Non pour les scores de base, puisqu’ils sont identiques. Oui pour les scores environnementaux publiés en 3.0 avec une portée modifiée, si l’écart de 0,1 point vous fait franchir un seuil de sévérité dans votre procédure interne.
Un score dit la gravité, pas si vous êtes concerné
TechWatchAlert rapproche chaque CVE de votre inventaire réel et classe d'abord ce qui est exploité.
Offre Free sans carte bancaire · hébergé en France