Calcolatrice CVSS 2.0
Lo standard legacy, ancora visualizzato su centinaia di migliaia di vecchi documenti. Costruisci il vettore e scopri cosa questo modello non può esprimere.
I sei parametri 2.0 e cosa li distingue
Il CVSS 2.0 ha rilevato vulnerabilità dal 2007 al 2015. Il suo vettore di base ha sei campi e tre di essi non hanno un equivalente diretto in 3.x.
| campo 2.0 | Valori | Nella 3.1 |
|---|---|---|
| AV: accedi al vettore | Locale, Rete adiacente, Rete | Stessa idea, ma aggiunge 3.x Fisico accesso: nella versione 2.0, l'inserimento di un cavo viene valutato come Locale. |
| AC: complessità dell'accesso | Alto, Medio, Basso | 3.x ne mantiene solo due. Il valore Medio scompare. |
| Au: autenticazione | Multiplo, Singolo, Nessuno | Sostituito da Privilegi Richiesti: misura il livello del conto, non il numero delle autenticazioni. |
| C/I/A — Impatti | Nessuno, Parziale, Completo | Diventa Nessuno/Basso/Alto e l'impatto viene misurato sul componente, non sull'intero host. |
Mancano semplicemente due concetti 3.x: portata, ovvero l'idea che un difetto possa estendersi oltre la componente vulnerabile, e interazione dell'utente, che non è un campo base in 2.0. Un difetto che richiede un clic da parte della vittima non viene quindi penalizzato: è uno dei motivi per cui i vecchi punteggi sembrano gonfiati.
Cosa significa il numero: tre bande, non cinque
| Punteggio | 2.0 gravità | Cosa direbbe 3.1 |
|---|---|---|
| 7.0 – 10.0 | Alto | Alto o Critico: la fascia 2.0 unisce le due. |
| 4.0 – 6.9 | Medio | Medio. |
| 0.0 – 3.9 | Basso | Basso o Nessuno. |
Un caso risolto: Heartbleed
CVE-2014-0160, la falla OpenSSL scoperta nell'aprile 2014, è elencata nell'NVD con il vettore 2.0 AV:N/AC:L/Au:N/C:P/I:N/A:N, per un punteggio di 5.0, gravità “Media”. Cinque su dieci, per una falla che ha esposto le chiavi private di una parte considerevole del web.
La spiegazione sta nel modello: la perdita c'è parziale (un utente malintenzionato legge 64 kilobyte di memoria in modo casuale, non l'intero database), senza alcun impatto sull'integrità o sulla disponibilità. 2.0 non ha modo di esprimere che quei 64 kilobyte a volte contengano una chiave privata. È proprio questo tipo di punto cieco che ha dato origine alla versione 3.0. Carica il caso nella calcolatrice in alto, quindi imposta la riservatezza su Completo: il punteggio sale e all'improvviso vedi ciò che il modello non potrebbe dire.
Cosa significa per te, in pratica
Se stai rilevando un registro dei rischi precedente al 2016: mantieni il punteggio 2.0 come record storico, ma non utilizzarlo per prendere decisioni. Riconsegna CVSS 3.1 le vulnerabilità ancora aperte, e soprattutto verificare se sono presenti nel Catalogo KEV: un difetto del 2014 ancora presente in un'azienda viene sfruttato molto più spesso di un difetto dell'anno scorso.
Fonti
- Guida completa CVSS 2.0 — FIRST.org.
- CVSS all'NVD - i punteggi 2.0 del vecchio CVEs.
Domande frequenti
CVSS 2.0 è ancora utilizzato?
Non viene più prodotto per il nuovo CVEs, ma è ancora visualizzato su centinaia di migliaia di record precedenti al 2016, in rapporti di audit, requisiti contrattuali e quadri interni che non sono mai stati migrati. Ti imbatterai principalmente in questo quando subentrerai nel lavoro esistente.
Perché non è presente una gravità "critica" nella versione 2.0?
2.0 ha solo tre fasce: Basso da 0,0 a 3,9, Medio da 4,0 a 6,9, Alto da 7,0 a 10,0. La banda critica è stata introdotta nella 3.0. Un 9,8 ottenuto in 2.0 viene quindi etichettato come “Alto”, il che porta le persone a sottovalutare i vecchi difetti quando leggono le etichette anziché i numeri.
È possibile convertire un punteggio 2.0 in 3.1?
No, e non esiste una tabella di conversione seria. Le metriche differiscono (autenticazione rispetto ai privilegi), gli impatti non hanno la stessa granularità e 3.x ha aggiunto l'ambito. Il difetto è da risalire dalla sua descrizione tecnica.
Cosa copre questa calcolatrice nella versione 2.0?
Il punteggio base e il punteggio temporale. Le metriche ambientali 2.0 (Potenziale Danno Collaterale, Distribuzione Target, Requisiti di Sicurezza) non vengono offerte: richiedono una stima del proprio patrimonio che nessuno compila onestamente, e tralasciarle non cambia né il punteggio base né quello temporale.
Piano Free, nessuna carta
Ottieni solo l'CVEs che interessa il tuo patrimonio immobiliare.
Dichiara i tuoi componenti una volta. Ti avvisiamo non appena un difetto colpisce uno di essi, già prioritario per KEV e EPSS, sul canale di tua scelta. Il primo avviso si spegne alla sincronizzazione successiva.
- Free, nessuna carta di credito
- Costruito e ospitato in Francia
- Esporta i tuoi dati in qualsiasi momento