Calculadora CVSS 2.0
El estándar heredado, que todavía se muestra en cientos de miles de registros antiguos. Construya el vector y vea lo que este modelo no pudo expresar.
Las seis métricas 2.0 y lo que las diferencia
el CVSS 2.0 calificó vulnerabilidades de 2007 a 2015. Su vector base tiene seis campos, y tres de ellos no tienen equivalente directo en 3.x.
| campo 2.0 | Valores | En 3.1 |
|---|---|---|
| AV — Vector de acceso | Local, Red Adyacente, Red | Misma idea, pero 3.x agrega Físico acceso: en 2.0, enchufar un cable se marca Local. |
| AC — Complejidad de acceso | Alto, Medio, Bajo | 3.x conserva sólo dos. el valor Medio desaparece. |
| Au — Autenticación | Múltiple, Único, Ninguno | Reemplazado por Privilegios Requeridos: mide la nivel de la cuenta, no del numero de autenticaciones. |
| C/I/A — Impactos | Ninguno, Parcial, Completo | Se convierte en Ninguno/Bajo/Alto y el impacto se mide en el componente, no en todo el host. |
Simplemente faltan dos conceptos 3.x: alcance, es decir, la idea de que una falla puede extenderse más allá del componente vulnerable, y interacción del usuario, que no es un campo base en 2.0. Por lo tanto, un error que requiere un clic de la víctima no se penaliza: es una de las razones por las que las puntuaciones antiguas parecen infladas.
Qué significa el número: tres bandas, no cinco
| Puntuación | 2.0 gravedad | ¿Qué diría el 3.1? |
|---|---|---|
| 7.0 – 10.0 | Alto | Alta o Crítica: la banda 2.0 fusiona las dos. |
| 4.0 – 6.9 | Medio | Medio. |
| 0.0 – 3.9 | Bajo | Bajo o Ninguno. |
Un caso trabajado: Heartbleed
CVE-2014-0160, la falla de OpenSSL revelada en abril de 2014, aparece en el NVD con el vector 2.0 AV:N/AC:L/Au:N/C:P/I:N/A:N, por una puntuación de 5.0, gravedad “Media”. Cinco de cada diez, por una falla que expuso las claves privadas de una parte importante de la web.
La explicación está en el modelo: la fuga es parcial (un atacante lee 64 kilobytes de memoria al azar, no toda la base de datos), sin impacto en la integridad o disponibilidad. 2.0 no tiene forma de expresar que esos 64 kilobytes a veces contienen una clave privada. Es exactamente este tipo de punto ciego lo que impulsó la versión 3.0. Cargue el caso en la calculadora de arriba, luego configure la confidencialidad en Completa: la puntuación sube y de repente ves lo que el modelo no pudo decir.
Lo que significa para ti, en la práctica
Si se hace cargo de un registro de riesgos anterior a 2016: mantenga la puntuación 2.0 como registro histórico, pero no la utilice para tomar decisiones. Volver a puntuar en CVSS 3.1 las vulnerabilidades aún abiertas, y sobre todo comprobar si están en el Catálogo KEV: un defecto de 2014 todavía presente en un patrimonio se aprovecha con mucha más frecuencia que un defecto del año pasado.
Fuentes
- Guía completa de CVSS 2.0 — FIRST.org.
- CVSS en el NVD – las puntuaciones 2.0 del CVEs anterior.
Preguntas frecuentes
¿Se sigue utilizando CVSS 2.0?
Ya no se produce para el nuevo CVEs, pero todavía se muestra en cientos de miles de registros anteriores a 2016, en informes de auditoría, requisitos contractuales y marcos internos que nunca se migraron. Lo encontrarás principalmente cuando te hagas cargo de un trabajo existente.
¿Por qué no hay una gravedad "crítica" en 2.0?
2.0 sólo tiene tres bandas: Baja de 0,0 a 3,9, Media de 4,0 a 6,9, Alta de 7,0 a 10,0. La banda crítica se introdujo en 3.0. Por lo tanto, un 9,8 obtenido en 2,0 se etiqueta como “Alto”, lo que lleva a las personas a subestimar viejos defectos cuando leen etiquetas en lugar de números.
¿Se puede convertir una puntuación de 2,0 a 3,1?
No, y no existe ninguna tabla de conversión seria. Las métricas difieren (autenticación versus privilegios), los impactos no tienen la misma granularidad y 3.x agregó Alcance. El defecto deberá ser subsanado a partir de su descripción técnica.
¿Qué cubre esta calculadora en 2.0?
La puntuación base y la puntuación temporal. Las métricas ambientales 2.0 (potencial de daños colaterales, distribución objetivo, requisitos de seguridad) no se ofrecen: requieren una estimación de su patrimonio que nadie completa honestamente, y dejarlas fuera no cambia ni la puntuación base ni la puntuación temporal.
Plan Free, sin tarjeta
Obtenga solo el CVEs que afecta su patrimonio real.
Declare sus componentes una vez. Te avisamos en cuanto un fallo afecte a uno de ellos, ya priorizado por KEV y EPSS, en el canal de tu elección. La primera alerta se activa en la siguiente sincronización.
- Free, sin tarjeta de crédito
- Construido y alojado en Francia
- Exporta tus datos en cualquier momento