Calculateur CVSS 3.1
Cochez les métriques, obtenez le vecteur et le score de base — identiques au calculateur de référence de FIRST.org — et lisez sous le chiffre ce qu’il raconte, en français.
Lire un vecteur de gauche à droite
Un vecteur est une suite de champs séparés par des barres obliques. Chacun répond à une question, toujours dans le même ordre. Prenons celui de Log4Shell, CVE-2021-44228 :
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
| Champ | Valeur | Ce que ça dit |
|---|---|---|
| AV | Réseau | Attaquable depuis Internet, sans être sur le même réseau. |
| AC | Faible | Aucune condition à réunir : l’attaque réussit à tous les coups. |
| PR | Aucun | Pas besoin de compte sur la machine visée. |
| UI | Aucune | Personne n’a besoin de cliquer. |
| S | Modifiée | La faille déborde de la bibliothèque et atteint la machine entière. |
| C / I / A | Élevé × 3 | Lecture, modification et arrêt : rien ne résiste. |
Le calculateur ci-dessus réécrit cette chaîne en français sous le score, à chaque clic. Chargez le cas « Log4Shell », puis changez un seul champ pour voir le mécanisme :
- Portée modifiée → inchangée (
S:C→S:U) : 10.0 devient 9.8. C’est le seul champ qui sépare les deux scores les plus fréquents du NVD. - Privilèges aucun → élevés (
PR:N→PR:H) : 10.0 devient 9.1. Exiger un compte d’administration retire près d’un point.
Ce que le chiffre veut dire
Le score de base vit entre 0.0 et 10.0 et se range dans cinq bandes. Ces bandes sont des conventions : rien ne distingue par nature un 6.9 d’un 7.0, sinon un seuil que la spécification a fixé.
| Score | Sévérité | Ce que ça veut dire en pratique |
|---|---|---|
| 9.0 – 10.0 | Critique | Compromission complète, souvent sans compte ni clic. Une exploitation réussie ne laisse rien debout. |
| 7.0 – 8.9 | Élevée | Impact lourd, mais une condition manque : un compte, un clic, un accès local. |
| 4.0 – 6.9 | Moyenne | Impact partiel, ou plusieurs conditions à réunir. |
| 0.1 – 3.9 | Faible | Fuite mineure, déni de service limité, ou exploitation très contrainte. |
| 0.0 | Aucune | Aucun impact déclaré sur la confidentialité, l’intégrité ni la disponibilité. |
Base, temporel, environnement : trois étages, un seul parle de vous
Le score de base décrit la faille telle qu’elle est publiée. C’est celui que tout le monde cite, et il ne bouge plus.
Le score temporel le corrige selon l’état du monde : un exploit fonctionnel circule, ou au contraire un correctif officiel est sorti. Sur notre exemple à 9.8, déclarer un correctif officiel disponible ramène le score à 9.4.
Le score environnemental est le seul qui parle de votre parc. Il repose sur deux leviers : les exigences (ce que la confidentialité, l’intégrité et la disponibilité valent sur ce système-là chez vous) et les métriques modifiées (ce que votre déploiement change à l’exposition réelle). Deux exemples calculés avec l’outil ci-dessus, en partant du même 9.8 :
- Le service n’est joignable que depuis un VPN : vecteur d’attaque modifié à Local → 8.4.
- C’est un environnement de recette sans donnée réelle : les trois exigences à Faible → 8.0.
Renseigner ces champs prend deux minutes, et c’est ce qui transforme une note publique en argument défendable devant une direction.
Et concrètement, lundi matin
L’ordre qui tient dans une vraie semaine, du plus décisif au moins décisif :
- La faille est-elle exploitée aujourd’hui ? Si elle figure au KEV et que le produit tourne chez vous, vous traitez sous 48 heures, quel que soit le score.
- Quelle probabilité qu’elle le soit sous 30 jours ? C’est l’EPSS. Au-delà de 0,1, on planifie.
- Quelle casse si elle l’est ? Le CVSS arrive ici, pour départager deux failles également probables.
C’est l’ordre que notre plateforme applique à votre place, et la raison pour laquelle nous commençons par vous demander ce que vous exploitez, pas ce que vous craignez. Voir comment se construit une veille CVE ciblée.
Sources
- Spécification CVSS 3.1 — FIRST.org, le document qui fait foi.
- Calculateur de référence 3.1 — pour recouper un score.
- CVSS au NVD — la source des scores publiés sur les CVE.
Questions fréquentes
Un CVSS 9.8 doit-il être corrigé avant un 7.5 ?
Pas automatiquement. Le CVSS mesure ce qui arriverait si la faille était exploitée, jamais la probabilité qu’elle le soit. Un 7.5 déjà inscrit au catalogue KEV, donc exploité aujourd’hui, passe avant un 9.8 théorique dont personne n’a publié d’exploit. L’ordre qui fonctionne : exploitation avérée, puis probabilité d’exploitation, puis gravité.
Pourquoi mon score diffère-t-il de celui affiché par le NVD ?
Trois causes, par ordre de fréquence. Vous n’avez pas coché exactement le même vecteur : comparez les deux chaînes champ par champ. La CVE porte plusieurs scores : celui de la CNA (CVE Numbering Authority, l’organisation qui attribue l’identifiant) et celui du NVD, qui divergent régulièrement. Ou vous comparez un score de base à un score environnemental.
Le score d’une CVE peut-il changer après sa publication ?
Oui, et c’est fréquent. Une CNA publie un vecteur provisoire, le NVD le réévalue, l’éditeur conteste parfois. Les métriques temporelles bougent aussi : un exploit publié fait monter la maturité, un correctif officiel fait redescendre le score temporel.
Faut-il renseigner les métriques d’environnement ?
C’est le seul étage qui parle de vous plutôt que de la faille, donc oui dès que la décision engage un budget ou une fenêtre de maintenance. Sur un service joignable uniquement derrière un VPN, passer le vecteur d’attaque modifié de Réseau à Local fait tomber notre exemple de 9.8 à 8.4.
Le calcul se fait-il sur vos serveurs ?
Non. Tout s’exécute dans votre navigateur : le vecteur que vous construisez n’est envoyé nulle part. Le bouton « Copier le lien » encode simplement le vecteur dans l’adresse de la page.
Un score dit la gravité, pas si vous êtes concerné
TechWatchAlert rapproche chaque CVE de votre inventaire réel et classe d'abord ce qui est exploité.
Offre Free sans carte bancaire · hébergé en France