Calculateur CVSS 4.0
La version la plus récente sépare l’impact sur le composant vulnérable de l’impact sur ce qu’il y a derrière. Construisez le vecteur, et voyez ce que cette séparation change.
Ce que le 4.0 change, champ par champ
Le CVSS 4.0 a été publié par FIRST.org en novembre 2023 pour répondre à un reproche répété : en 3.1, la moitié des CVE se tassaient sur quelques scores, et la note disait peu de chose de l’impact réel. Quatre changements portent l’essentiel.
| CVSS 3.1 | CVSS 4.0 | Pourquoi |
|---|---|---|
| Portée (S) | VC/VI/VA + SC/SI/SA | Au lieu d’un oui/non, on note séparément ce qui arrive au composant vulnérable et ce qui arrive derrière lui. |
| Complexité (AC) | AC + AT | Ce que l’attaquant contourne (AC) est séparé de ce qu’il subit (AT, les conditions d’attaque). |
| Interaction (UI:N/R) | UI:N/P/A | Un clic délibéré et une navigation ordinaire ne demandent pas le même effort à l’attaquant. |
| Maturité (E) | E:A/P/U | Trois états francs : attaques observées, preuve de concept publiée, rien de signalé. |
Le calculateur ci-dessus propose quatre cas préchargés. Le plus parlant est « Évasion d’hyperviseur » : un défaut local, banal en 3.1, qui atteint les machines virtuelles invitées. Chargez-le, puis basculez les trois impacts subséquents à Aucune pour voir la différence que le 4.0 sait exprimer, et que le 3.1 réduisait à un seul bit.
Ce que le chiffre veut dire
Les bandes de sévérité sont celles du 3.1, ce qui entretient une confusion permanente : un 8.6 en 4.0 et un 8.6 en 3.1 ne décrivent pas la même chose, alors qu’ils portent la même étiquette.
| Score | Sévérité | Ce que ça veut dire en pratique |
|---|---|---|
| 9.0 – 10.0 | Critique | Compromission complète, souvent sans compte ni clic. Une exploitation réussie ne laisse rien debout. |
| 7.0 – 8.9 | Élevée | Impact lourd, mais une condition manque : un compte, un clic, un accès local. |
| 4.0 – 6.9 | Moyenne | Impact partiel, ou plusieurs conditions à réunir. |
| 0.1 – 3.9 | Faible | Fuite mineure, déni de service limité, ou exploitation très contrainte. |
| 0.0 | Aucune | Aucun impact déclaré sur la confidentialité, l’intégrité ni la disponibilité. |
Base, menace, environnement : la nouvelle nomenclature
Le 4.0 renomme les étages pour couper court à une mauvaise habitude, celle de publier un score de base et de l’appeler « le » score. On parle désormais de CVSS-B (base seule), CVSS-BT (base et menace), CVSS-BE (base et environnement) et CVSS-BTE (tout). Le nom dit ce qui a réellement été renseigné.
Le groupe temporel devient le groupe menace et se réduit à une seule métrique, la maturité de l’exploit : le niveau de correctif et la confiance du rapport ont disparu, faute d’avoir jamais été renseignés sérieusement.
Et concrètement, pour vous
Trois gestes qui évitent les erreurs les plus fréquentes :
- Conservez la version d’origine dans votre suivi. Le préfixe
CVSS:4.0/fait partie du vecteur : sans lui, personne ne saura quelle échelle vous citez. - Renseignez la maturité de l’exploit quand vous la connaissez. C’est le seul champ du groupe menace, et celui qui rapproche le plus le score du terrain.
- Ne priorisez toujours pas sur ce chiffre seul. Le 4.0 décrit mieux l’impact, il ne prédit toujours pas l’exploitation. Croisez avec l’EPSS et le KEV : c’est ce que fait une veille CVE ciblée sur votre parc.
Sources
- Spécification CVSS 4.0 — FIRST.org.
- Calculateur de référence 4.0 — pour recouper un score.
Questions fréquentes
Faut-il passer au CVSS 4.0 maintenant ?
Utilisez la version que publie votre source. Le NVD et la majorité des CNA (CVE Numbering Authorities, les organisations qui attribuent les identifiants CVE) diffusent encore du 3.1 ; certains éditeurs publient les deux. Recalculer en 4.0 un vecteur donné en 3.1 produit un chiffre comparable à rien : les deux échelles ne se convertissent pas.
Qu’est-ce qui remplace le Scope du 3.1 ?
Six métriques d’impact au lieu de trois. VC, VI et VA décrivent ce qui arrive au composant vulnérable ; SC, SI et SA décrivent ce qui arrive aux systèmes situés derrière. Là où le 3.1 disait seulement « ça déborde », le 4.0 dit de combien et sur quoi.
Quelle différence entre complexité et conditions d’attaque ?
La complexité mesure ce que l’attaquant doit contourner activement : une protection mémoire, une vérification de signature. Les conditions d’attaque mesurent ce qu’il doit attendre ou subir : une course entre deux processus, une charge particulière, une position sur le réseau. Le 3.1 mélangeait les deux dans un seul champ.
Que couvre exactement ce calculateur ?
Le vecteur de base, la maturité de l’exploit et les trois exigences de sécurité (CR, IR, AR), calculés par la table de macro-vecteurs officielle de FIRST.org. Les métriques d’environnement modifiées (MAV, MSI:S…) et les métriques supplémentaires (Automatable, Recovery, Safety) ne sont pas encore prises en charge : nous préférons l’écrire que vous le laisser découvrir.
Un score dit la gravité, pas si vous êtes concerné
TechWatchAlert rapproche chaque CVE de votre inventaire réel et classe d'abord ce qui est exploité.
Offre Free sans carte bancaire · hébergé en France