CVSS 2.0 rekenmachine
De oude standaard, die nog steeds wordt weergegeven op honderdduizenden oude documenten. Bouw de vector en kijk wat dit model niet kon uitdrukken.
De zes 2.0-statistieken, en wat hen onderscheidt
De CVSS 2.0 scoorde kwetsbaarheden van 2007 tot 2015. De basisvector heeft zes velden, en drie daarvan hebben geen direct equivalent in 3.x.
| 2.0 veld | Waarden | In 3.1 |
|---|---|---|
| AV — Toegangsvector | Lokaal, aangrenzend netwerk, netwerk | Hetzelfde idee, maar 3.x voegt toe Fysiek toegang: in 2.0 wordt het aansluiten van een kabel lokaal gescoord. |
| AC — Toegang tot complexiteit | Hoog, gemiddeld, laag | 3.x behoudt er slechts twee. De waarde Gemiddeld verdwijnt. |
| Au - Authenticatie | Meerdere, enkelvoudig, geen | Vervangen door vereiste rechten: het meet de niveau van de rekening, niet van de nummer van authenticaties. |
| C / I / A — Impact | Geen, Gedeeltelijk, Compleet | Wordt Geen / Laag / Hoog en de impact wordt gemeten op het onderdeel, niet op de hele host. |
Twee 3.x-concepten ontbreken eenvoudigweg: reikwijdte, wat het idee betekent dat een fout verder kan gaan dan de kwetsbare component, en gebruikersinteractie, wat geen basisveld is in 2.0. Een fout die een klik van het slachtoffer vereist, wordt dus niet bestraft: het is een van de redenen waarom oude scores er overdreven uitzien.
Wat het nummer betekent: drie bands, niet vijf
| Scoren | 2,0 ernst | Wat 3.1 zou zeggen |
|---|---|---|
| 7.0 – 10.0 | Hoog | Hoog of kritisch: de 2.0-band combineert de twee. |
| 4.0 – 6.9 | Gemiddeld | Gemiddeld. |
| 0.0 – 3.9 | Laag | Laag of Geen. |
Een uitgewerkte casus: Heartbleed
CVE-2014-0160, de OpenSSL-fout die in april 2014 werd onthuld, wordt in de NVD vermeld met de 2.0-vector AV:N/AC:L/Au:N/C:P/I:N/A:N, voor een score van 5.0, ernst “Gemiddeld”. Vijf op tien voor een fout die de privésleutels van een aanzienlijk deel van het internet blootlegde.
De verklaring ligt in het model: het lek is gedeeltelijk (een aanvaller leest willekeurig 64 kilobyte geheugen, niet de hele database), zonder gevolgen voor de integriteit of beschikbaarheid. 2.0 kan op geen enkele manier uitdrukken dat die 64 kilobytes soms een privésleutel bevatten. Het is precies dit soort blinde vlek die aanleiding gaf tot 3.0. Laad de casus in de rekenmachine hierboven en stel vervolgens de vertrouwelijkheid in Compleet: de score stijgt, en je ziet ineens wat het model niet kon zeggen.
Wat het voor u betekent, in de praktijk
Indien u een risicoregister van vóór 2016 overneemt: bewaar de score 2.0 als historisch record, maar gebruik deze niet bij het nemen van beslissingen. Herscore binnen CVSS 3.1 de kwetsbaarheden staan nog steeds open, en controleer vooral of ze in de KEV-catalogus: een gebrek uit 2014 dat nog steeds in een nalatenschap aanwezig is, wordt veel vaker uitgebuit dan een gebrek van vorig jaar.
Bronnen
- Volledige CVSS 2.0-handleiding — FIRST.org.
- CVSS en de NVD - de 2.0-scores van de oudere CVEs.
Veelgestelde vragen
Wordt CVSS 2.0 nog steeds gebruikt?
Het wordt niet langer geproduceerd voor de nieuwe CVEs, maar wordt nog steeds weergegeven in honderdduizenden records ouder dan 2016, in auditrapporten, contractuele vereisten en interne raamwerken die nooit zijn gemigreerd. Je zult er vooral tegenaan lopen bij het overnemen van bestaand werk.
Waarom is er geen ‘kritieke’ ernst in 2.0?
2.0 heeft slechts drie banden: Laag van 0,0 tot 3,9, Medium van 4,0 tot 6,9, Hoog van 7,0 tot 10,0. De kritische band werd geïntroduceerd in 3.0. Een 9,8 die in 2.0 wordt gescoord, wordt daarom als ‘Hoog’ bestempeld, wat ertoe leidt dat mensen oude tekortkomingen onderschatten wanneer ze labels lezen in plaats van cijfers.
Kan een score van 2,0 worden omgezet naar 3,1?
Nee, en er bestaat geen serieuze conversietabel. De statistieken verschillen (authenticatie versus privileges), de impact heeft niet dezelfde granulariteit en 3.x heeft Scope toegevoegd. De fout moet opnieuw worden gescoord op basis van de technische beschrijving.
Wat houdt deze rekenmachine in 2.0 in?
De basisscore en de tijdelijke score. De 2.0-milieustatistieken (Potentieel nevenschade, Doelverdeling, beveiligingsvereisten) worden niet aangeboden: ze vereisen een schatting van uw nalatenschap die niemand eerlijk invult, en als u deze weglaat, verandert noch de basisscore, noch de tijdelijke score.
Free-abonnement, geen kaart
Koop alleen de CVEs die van invloed is uw werkelijke vermogen.
Declareer uw onderdelen eenmalig. We waarschuwen u zodra een fout een van hen treft, die al prioriteit heeft gekregen van KEV en EPSS, op het kanaal van uw keuze. De eerste waarschuwing gaat uit bij de volgende synchronisatie.
- Free, geen creditcard
- Gebouwd en gehost in Frankrijk
- Exporteer uw gegevens op elk gewenst moment