CVSS 2.0 Rechner
Der Legacy-Standard, der immer noch auf Hunderttausenden alten Datensätzen angezeigt wird. Erstellen Sie den Vektor und sehen Sie, was dieses Modell nicht ausdrücken konnte.
Die sechs 2.0-Kennzahlen und was sie auszeichnet
Die CVSS 2.0 hat von 2007 bis 2015 Schwachstellen festgestellt. Sein Basisvektor besteht aus sechs Feldern, und drei davon haben in 3.x kein direktes Äquivalent.
| 2.0 Feld | Werte | In 3.1 |
|---|---|---|
| AV – Zugriffsvektor | Lokales, angrenzendes Netzwerk, Netzwerk | Dieselbe Idee, aber 3.x fügt hinzu Physisch Zugriff: In 2.0 wird das Einstecken eines Kabels als lokal gewertet. |
| AC – Zugriffskomplexität | Hoch, Mittel, Niedrig | 3.x behält nur zwei. Der Wert Mittel verschwindet. |
| Au – Authentifizierung | Mehrfach, Einzeln, Keine | Ersetzt durch Erforderliche Berechtigungen: Es misst die Ebene des Kontos, nicht des Nummer von Authentifizierungen. |
| C / I / A – Auswirkungen | Keine, teilweise, vollständig | Wird zu „Keine“ / „Niedrig“ / „Hoch“ und die Auswirkung wird auf der Komponente und nicht auf dem gesamten Host gemessen. |
Zwei 3.x-Konzepte fehlen einfach: Umfang, was die Idee bedeutet, dass ein Fehler über die anfällige Komponente hinausgehen kann, und Benutzerinteraktion, was in 2.0 kein Basisfeld ist. Ein Fehler, der einen Klick des Opfers erfordert, wird daher nicht bestraft: Er ist einer der Gründe dafür, dass alte Ergebnisse überhöht wirken.
Was die Zahl bedeutet: drei Bands, nicht fünf
| Punktzahl | Schweregrad 2,0 | Was 3.1 sagen würde |
|---|---|---|
| 7.0 – 10.0 | Hoch | Hoch oder kritisch: Das 2.0-Band vereint beides. |
| 4.0 – 6.9 | Mittel | Mittel. |
| 0.0 – 3.9 | Niedrig | Niedrig oder Keine. |
Ein bearbeiteter Fall: Heartbleed
CVE-2014-0160, der im April 2014 offengelegte OpenSSL-Fehler, ist im NVD mit dem 2.0-Vektor aufgeführt AV:N/AC:L/Au:N/C:P/I:N/A:N, für eine Punktzahl von 5.0, Schweregrad „Mittel“. Fünf von zehn Punkten für einen Fehler, der die privaten Schlüssel eines beträchtlichen Teils des Webs offengelegt hat.
Die Erklärung liegt im Modell: Das Leck ist teilweise (Ein Angreifer liest zufällig 64 Kilobyte Speicher, nicht die gesamte Datenbank), ohne Auswirkungen auf die Integrität oder Verfügbarkeit. 2.0 hat keine Möglichkeit auszudrücken, dass diese 64 Kilobyte manchmal einen privaten Schlüssel enthalten. Es ist genau dieser blinde Fleck, der zu 3.0 geführt hat. Laden Sie den Fall in den Rechner oben und stellen Sie dann die Vertraulichkeit auf ein Komplett: Die Punktzahl steigt und Sie sehen plötzlich, was das Modell nicht sagen konnte.
Was es für Sie in der Praxis bedeutet
Wenn Sie ein Risikoregister von vor 2016 übernehmen: Behalten Sie den Wert von 2,0 als historische Aufzeichnung, verwenden Sie ihn jedoch nicht für Entscheidungen. Neu punkten CVSS 3.1 Stellen Sie sicher, dass die Schwachstellen noch offen sind, und prüfen Sie vor allem, ob sie vorhanden sind KEV-Katalog: Ein in einem Nachlass noch vorhandener Fehler aus dem Jahr 2014 wird viel häufiger ausgenutzt als ein Fehler aus dem letzten Jahr.
Quellen
- Vollständige CVSS 2.0-Anleitung — FIRST.org.
- CVSS beim NVD – die 2,0-Werte des älteren CVEs.
FAQ
Wird CVSS 2.0 noch verwendet?
Es wird nicht mehr für das neue CVEs erstellt, wird aber immer noch in Hunderttausenden Datensätzen angezeigt, die älter als 2016 sind, in Prüfberichten, vertraglichen Anforderungen und internen Frameworks, die nie migriert wurden. Meistens werden Sie darauf stoßen, wenn Sie bestehende Arbeiten übernehmen.
Warum gibt es in 2.0 keinen Schweregrad „Kritisch“?
2.0 hat nur drei Bänder: Niedrig von 0,0 bis 3,9, Mittel von 4,0 bis 6,9, Hoch von 7,0 bis 10,0. Das Critical-Band wurde in 3.0 eingeführt. Eine 9,8 in 2,0 wird daher als „Hoch“ eingestuft, was dazu führt, dass Menschen alte Fehler unterschätzen, wenn sie Etiketten statt Zahlen lesen.
Kann ein Wert von 2,0 in einen Wert von 3,1 umgewandelt werden?
Nein, und es gibt keine seriöse Umrechnungstabelle. Die Metriken unterscheiden sich (Authentifizierung versus Privilegien), die Auswirkungen haben nicht die gleiche Granularität und 3.x fügte Scope hinzu. Der Fehler muss anhand seiner technischen Beschreibung neu bewertet werden.
Was deckt dieser Rechner in 2.0 ab?
Der Basisscore und der zeitliche Score. Die 2.0-Umweltkennzahlen (Kollateralschadenspotenzial, Zielverteilung, Sicherheitsanforderungen) werden nicht angeboten: Sie erfordern eine Schätzung Ihres Nachlasses, die niemand ehrlich ausfüllt, und das Weglassen dieser Kennzahlen ändert weder die Basisbewertung noch die zeitliche Bewertung.
Free-Plan, keine Karte
Holen Sie sich nur das CVEs, das betroffen ist Ihr tatsächlicher Nachlass.
Deklarieren Sie Ihre Komponenten einmal. Wir benachrichtigen Sie, sobald ein Fehler einen von KEV und EPSS bereits priorisierten Fehler auf dem Kanal Ihrer Wahl betrifft. Die erste Warnung erlischt bei der nächsten Synchronisierung.
- Free, keine Kreditkarte
- Gebaut und gehostet in Frankreich
- Exportieren Sie Ihre Daten jederzeit