Calculadora CVSS 2.0
O padrão legado, ainda exibido em centenas de milhares de registros antigos. Construa o vetor e veja o que este modelo não conseguiu expressar.
As seis métricas 2.0 e o que as diferencia
O CVSS 2.0 pontuou vulnerabilidades de 2007 a 2015. Seu vetor base possui seis campos, e três deles não têm equivalente direto em 3.x.
| Campo 2.0 | Valores | Em 3.1 |
|---|---|---|
| AV — Vetor de acesso | Local, Rede Adjacente, Rede | Mesma ideia, mas 3.x adiciona Físico acesso: em 2.0, conectar um cabo é classificado como Local. |
| AC — Complexidade de Acesso | Alto, Médio, Baixo | 3.x mantém apenas dois. O valor Médio desaparece. |
| Au – Autenticação | Múltiplo, Único, Nenhum | Substituído por Privilégios Necessários: mede o nível da conta, não do número de autenticações. |
| C/I/A — Impactos | Nenhum, Parcial, Completo | Torna-se Nenhum/Baixo/Alto e o impacto é medido no componente, não em todo o host. |
Dois conceitos 3.x simplesmente estão faltando: escopo, significando a ideia de que uma falha pode ir além do componente vulnerável, e interação do usuário, que não é um campo base no 2.0. Uma falha que exige um clique da vítima não é, portanto, penalizada: é uma das razões pelas quais as pontuações antigas parecem infladas.
O que o número significa: três bandas, não cinco
| Pontuação | Gravidade 2.0 | O que 3.1 diria |
|---|---|---|
| 7.0 – 10.0 | Alto | Alta ou Crítica: a banda 2.0 mescla as duas. |
| 4.0 – 6.9 | Médio | Médio. |
| 0.0 – 3.9 | Baixo | Baixo ou Nenhum. |
Um caso resolvido: Heartbleed
CVE-2014-0160, a falha OpenSSL divulgada em abril de 2014, está listada no NVD com o vetor 2.0 AV:N/AC:L/Au:N/C:P/I:N/A:N, para uma pontuação de 5.0, gravidade “Média”. Cinco em cada dez, por uma falha que expôs as chaves privadas de uma parte considerável da web.
A explicação está no modelo: o vazamento é parcial (um invasor lê 64 kilobytes de memória aleatoriamente, e não o banco de dados inteiro), sem impacto na integridade ou na disponibilidade. 2.0 não tem como expressar que esses 64 kilobytes às vezes contêm uma chave privada. É exatamente esse tipo de ponto cego que motivou o 3.0. Carregue o caso na calculadora acima e defina a confidencialidade como Completo: a pontuação sobe e de repente você vê o que o modelo não conseguiu dizer.
O que isso significa para você, na prática
Se você estiver assumindo um registro de riscos anterior a 2016: mantenha a pontuação 2,0 como registro histórico, mas não a utilize para tomar decisões. Remarcar em CVSS 3.1 as vulnerabilidades ainda abertas e, acima de tudo, verificar se elas estão no Catálogo KEV: uma falha de 2014 ainda presente numa propriedade é explorada com muito mais frequência do que uma falha do ano passado.
Fontes
- Guia completo do CVSS 2.0 -FIRST.org.
- CVSS no NVD – as pontuações 2.0 do antigo CVEs.
Perguntas frequentes
O CVSS 2.0 ainda é usado?
Não é mais produzido para o novo CVEs, mas ainda é exibido em centenas de milhares de registros anteriores a 2016, em relatórios de auditoria, requisitos contratuais e estruturas internas que nunca foram migradas. Você encontrará isso principalmente ao assumir o trabalho existente.
Por que não há gravidade “Crítica” no 2.0?
2.0 possui apenas três bandas: Baixa de 0,0 a 3,9, Média de 4,0 a 6,9, Alta de 7,0 a 10,0. A banda Critical foi introduzida em 3.0. Uma pontuação de 9,8 em 2,0 é, portanto, rotulada como “Alta”, o que leva as pessoas a subestimar falhas antigas quando leem rótulos em vez de números.
Uma pontuação de 2,0 pode ser convertida em 3,1?
Não, e não existe nenhuma tabela de conversão séria. As métricas são diferentes (autenticação versus privilégios), os impactos não têm a mesma granularidade e o 3.x adicionou Escopo. A falha deve ser resgatada a partir de sua descrição técnica.
O que esta calculadora cobre no 2.0?
A pontuação base e a pontuação temporal. As métricas ambientais 2.0 (potencial de dano colateral, distribuição de alvos, requisitos de segurança) não são oferecidas: elas exigem uma estimativa do seu patrimônio que ninguém preenche honestamente, e deixá-las de fora não altera nem a pontuação base nem a pontuação temporal.
Plano Free, sem cartão
Obtenha apenas o CVEs que afeta seu imóvel.
Declare seus componentes uma vez. Alertamos assim que alguma falha afetar um deles, já priorizado por KEV e EPSS, no canal de sua preferência. O primeiro alerta sai na próxima sincronização.
- Free, sem cartão de crédito
- Construído e hospedado na França
- Exporte seus dados a qualquer momento