CVSS 4.0 rekenmachine
De nieuwste versie scheidt de impact op het kwetsbare onderdeel van de impact op wat erachter zit. Bouw de vector en kijk wat die scheiding verandert.
Wat 4.0 verandert, veld voor veld
De CVSS 4.0 werd in november 2023 door FIRST.org gepubliceerd als antwoord op een terugkerend bezwaar: in 3.1 klonterde de helft van de CVE's samen op een handvol scores, en de score zei weinig over de werkelijke impact. Vier wijzigingen dragen het grootste gewicht.
| CVSS 3.1 | CVSS 4.0 | Waarom |
|---|---|---|
| Reikwijdte (S) | VC/VI/VA + SC/SI/SA | In plaats van een ja/nee wordt apart gescoord wat er met het kwetsbare onderdeel gebeurt en wat daarachter gebeurt. |
| Aanvalscomplexiteit (AC) | AC + AT | Waar de aanvaller omheen werkt (AC) wordt gescheiden van waar hij op moet wachten of wat hij moet verdragen (AT, Aanvalsvereisten). |
| Gebruikersinteractie (UI:N/R) | UI:N/P/A | Een opzettelijke klik en gewoon browsen kosten de aanvaller niet dezelfde moeite. |
| Exploit-rijpheid (E) | E:A/P/U | Drie duidelijke toestanden: aanvallen waargenomen, proof of concept gepubliceerd, niets gerapporteerd. |
De bovenstaande rekenmachine biedt vier vooraf geladen gevallen. Het meest veelzeggende is “Hypervisor escape”: een lokale fout, onopvallend in 3.1, die de virtuele gastmachines bereikt. Laad het en schakel vervolgens de drie volgende systeemeffecten naar Geen om het verschil te zien dat 4.0 kan uitdrukken, en dat 3.1 teruggebracht tot een enkele bit.
Wat het getal betekent
De ernstklassen zijn dezelfde als in 3.1, wat een constante verwarring in stand houdt: een 8,6 in 4.0 en een 8,6 in 3.1 beschrijven niet hetzelfde, maar dragen toch hetzelfde label.
| Scoren | Ernst | Wat het in de praktijk betekent |
|---|---|---|
| 9.0 – 10.0 | Kritisch | Volledig compromis, vaak zonder account en zonder klik. Een succesvolle exploit laat niets overeind. |
| 7.0 – 8.9 | Hoog | Grote impact, maar één voorwaarde ontbreekt: een account, een klik, lokale toegang. |
| 4.0 – 6.9 | Gemiddeld | Er moet aan een gedeeltelijke impact of aan meerdere voorwaarden worden voldaan. |
| 0.1 – 3.9 | Laag | Klein lek, beperkte denial-of-service of zwaar beperkte exploitatie. |
| 0.0 | Geen | Er is geen gerapporteerde impact op de vertrouwelijkheid, integriteit of beschikbaarheid. |
Basis, dreiging, milieu: de nieuwe nomenclatuur
4.0 hernoemt de lagen om een slechte gewoonte te doorbreken: een basisscore publiceren en deze “de” score noemen. De namen zijn nu CVSS-B (alleen basis), CVSS-BT (basis en dreiging), CVSS-BE (basis en milieu) en CVSS-AHO (alles). De naam zegt wat er daadwerkelijk is ingevuld.
De tijdelijke groep wordt de bedreiging groep en krimpt in tot één enkele maatstaf, volwassenheid van exploiteren: het herstelniveau en het rapportvertrouwen zijn verdwenen en zijn nooit serieus ingevuld.
Wat het voor u betekent, in de praktijk
Drie gewoonten die de meest voorkomende fouten vermijden:
- Bewaar de originele versie in uw tracking. Het voorvoegsel
CVSS:4.0/maakt deel uit van de vector: zonder deze weet niemand welke schaal u citeert. - Vul de volwassenheid van de exploit in als je het weet. Het is het enige veld in de dreigingsgroep en het veld dat de score het dichtst in de buurt brengt van wat er in het veld gebeurt.
- Geef nog steeds geen prioriteit aan dit nummer alleen. 4.0 beschrijft impact beter, maar voorspelt nog steeds geen uitbuiting. Kruiscontrole met EPSS en KEV: dat is de taak van CVE-monitoring gericht op uw landgoed.
Bronnen
- CVSS 4.0-specificatie — FIRST.org.
- 4.0 referentiecalculator — om een score te controleren.
Veelgestelde vragen
Moet u nu overstappen naar CVSS 4.0?
Gebruik de versie die uw bron publiceert. De NVD en de meeste CNA's (CVE Nummeringsautoriteiten, de organisaties die CVE-identifiers toewijzen) publiceren nog steeds 3.1; sommige leveranciers publiceren beide. Het herberekenen in 4.0 van een vector gegeven in 3.1 levert een getal op dat met niets vergelijkbaar is: de twee schalen worden niet geconverteerd.
Wat vervangt de 3.1-scope?
Zes impactstatistieken in plaats van drie. VC, VI en VA beschrijven wat er met het kwetsbare onderdeel gebeurt; SC, SI en SA beschrijven wat er gebeurt met de systemen erachter. Waar 3.1 alleen zei “het loopt over”, zegt 4.0 met hoeveel en waarover.
Wat is het verschil tussen complexiteit en aanvalsvereisten?
Complexiteit meet wat de aanvaller actief moet omzeilen: geheugenbescherming, handtekeningcontrole. Aanvalsvereisten meten waar ze op moeten wachten of wat ze moeten doorstaan: een race tussen twee processen, een bepaalde belasting, een positie op het netwerk. 3.1 bracht de twee samen in één veld.
Wat houdt deze rekenmachine precies in?
De basisvector, exploitatievolwassenheid en de drie beveiligingsvereisten (CR, IR, AR), berekend met de officiële macrovectortabel van FIRST.org. Gewijzigde milieustatistieken (MAV, MSI:S...) en aanvullende statistieken (Automateerbaar, Herstel, Veiligheid) worden nog niet ondersteund: we zeggen dit liever dan dat u erachter komt.
Free-abonnement, geen kaart
Koop alleen de CVEs die van invloed is uw werkelijke vermogen.
Declareer uw onderdelen eenmalig. We waarschuwen u zodra een fout een van hen treft, die al prioriteit heeft gekregen van KEV en EPSS, op het kanaal van uw keuze. De eerste waarschuwing gaat uit bij de volgende synchronisatie.
- Free, geen creditcard
- Gebouwd en gehost in Frankrijk
- Exporteer uw gegevens op elk gewenst moment