Calcolatrice CVSS 4.0
L’ultima versione separa l’impatto sulla componente vulnerabile dall’impatto su ciò che sta dietro di essa. Costruisci il vettore e guarda cosa cambia quella separazione.
Cosa cambia il 4.0, campo per campo
Il CVSS 4.0 è stato pubblicato da FIRST.org nel novembre 2023 in risposta a un reclamo ricorrente: nella versione 3.1, metà di tutti gli CVEs si raggruppavano su una manciata di punteggi, e la valutazione diceva poco sull'impatto reale. Quattro cambiamenti portano la maggior parte del peso.
| CVSS 3.1 | CVSS 4.0 | Perché |
|---|---|---|
| Ambito (S) | VC/VI/VA + SC/SI/SA | Invece di un sì/no, ciò che accade alla componente vulnerabile e ciò che accade dietro di essa vengono valutati separatamente. |
| Complessità di attacco (AC) | AC+AT | Ciò che l'attaccante aggira (AC) è separato da ciò che deve aspettare o sopportare (AT, Requisiti di attacco). |
| Interazione utente (UI:N/R) | IU:N/P/A | Un clic intenzionale e una normale navigazione non costano lo stesso sforzo all'aggressore. |
| Sfruttare la maturità (E) | E:A/P/U | Tre stati chiari: attacchi osservati, prova di concetto pubblicata, nulla riportato. |
Il calcolatore qui sopra offre quattro casi precaricati. Il più significativo è “Hypervisor escape”: un difetto locale, insignificante nella versione 3.1, che raggiunge le macchine virtuali guest. Caricalo, quindi passa ai tre successivi impatti di sistema Nessuno per vedere la differenza che il 4.0 può esprimere, e che il 3.1 è ridotto a un solo bit.
Cosa significa il numero
Le fasce di gravità sono le stesse di 3.1, il che mantiene una confusione costante: un 8.6 in 4.0 e un 8.6 in 3.1 non descrivono la stessa cosa, ma portano la stessa etichetta.
| Punteggio | Gravità | Cosa significa in pratica |
|---|---|---|
| 9.0 – 10.0 | Critico | Compromesso completo, spesso senza account e senza clic. Un exploit riuscito non lascia nulla in piedi. |
| 7.0 – 8.9 | Alto | Impatto pesante, ma manca una condizione: un account, un clic, l'accesso locale. |
| 4.0 – 6.9 | Medio | È necessario che sia soddisfatto un impatto parziale o più condizioni. |
| 0.1 – 3.9 | Basso | Perdita di lieve entità, negazione del servizio limitata o sfruttamento fortemente limitato. |
| 0.0 | Nessuno | Nessun impatto segnalato su riservatezza, integrità o disponibilità. |
Base, minaccia, ambientale: la nuova nomenclatura
4.0 rinomina i livelli per interrompere una cattiva abitudine: pubblicare un punteggio base e chiamarlo "il" punteggio. I nomi sono adesso CVSS-B (solo base), CVSS-BT (base e minaccia), CVSS-BE (di base e ambientale) e CVSS-BTE (tutto). Il nome dice cosa è stato effettivamente compilato.
Il gruppo temporale diventa il minaccia gruppo e si riduce a una singola metrica, maturità dello sfruttamento: il livello di riparazione e la confidenza del report sono scomparsi, non essendo mai stati compilati seriamente.
Cosa significa per te, in pratica
Tre abitudini che evitano gli errori più comuni:
- Conserva la versione originale nel tuo monitoraggio. Il prefisso
CVSS:4.0/fa parte del vettore: senza di esso nessuno saprà quale scala stai citando. - Compila la maturità dell'exploit quando lo sai. È l’unico campo nel gruppo delle minacce, e quello che avvicina il punteggio a ciò che accade in campo.
- Ancora non dare priorità solo a questo numero. 4.0 descrive meglio l’impatto, ma non prevede ancora lo sfruttamento. Controllo incrociato con EPSS e KEV: questo è il compito di Monitoraggio CVE mirato al tuo patrimonio.
Fonti
- Specifica CVSS 4.0 — FIRST.org.
- Calcolatore di riferimento 4.0 - per effettuare un controllo incrociato di un punteggio.
Domande frequenti
Dovresti passare a CVSS 4.0 adesso?
Utilizza la versione pubblicata dalla tua fonte. L'NVD e la maggior parte delle CNA (Autorità di numerazione CVE, le organizzazioni che assegnano gli identificatori CVE) pubblicano ancora 3.1; alcuni fornitori li pubblicano entrambi. Ricalcolando in 4.0 un vettore dato in 3.1 si ottiene un numero paragonabile a nulla: le due scale non si convertono.
Cosa sostituisce l’Ambito 3.1?
Sei parametri di impatto invece di tre. VC, VI e VA descrivono cosa succede alla componente vulnerabile; SC, SI e SA descrivono cosa succede ai sistemi dietro di esso. Laddove 3.1 dice solo “si riversa”, 4.0 dice in che misura e su cosa.
Qual è la differenza tra complessità e requisiti di attacco?
La complessità misura ciò che l'aggressore deve attivamente aggirare: una protezione della memoria, un controllo della firma. I requisiti di attacco misurano ciò che devono aspettare o sopportare: una corsa tra due processi, un carico particolare, una posizione sulla rete. 3.1 ha raggruppato i due in un unico campo.
Cosa copre esattamente questa calcolatrice?
Il vettore di base, la maturità dell'exploit e i tre requisiti di sicurezza (CR, IR, AR), calcolati con la tabella dei macro-vettori ufficiali di FIRST.org. Le metriche ambientali modificate (MAV, MSI:S…) e le metriche supplementari (Automatable, Recovery, Safety) non sono ancora supportate: preferiamo dirlo piuttosto che fartelo scoprire.
Piano Free, nessuna carta
Ottieni solo l'CVEs che interessa il tuo patrimonio immobiliare.
Dichiara i tuoi componenti una volta. Ti avvisiamo non appena un difetto colpisce uno di essi, già prioritario per KEV e EPSS, sul canale di tua scelta. Il primo avviso si spegne alla sincronizzazione successiva.
- Free, nessuna carta di credito
- Costruito e ospitato in Francia
- Esporta i tuoi dati in qualsiasi momento