CVSS 4.0-Rechner
Die neueste Version trennt die Auswirkungen auf die anfällige Komponente von den Auswirkungen auf das, was sich dahinter befindet. Erstellen Sie den Vektor und sehen Sie, was sich durch diese Trennung ändert.
Was 4.0 Feld für Feld ändert
Die CVSS 4.0 wurde im November 2023 von FIRST.org veröffentlicht, als Antwort auf einen wiederkehrenden Vorwurf: In 3.1 ballte sich die Hälfte der CVEs auf wenigen Scores, und die Note sagte wenig über die tatsächliche Auswirkung. Vier Änderungen tragen das Wesentliche.
| CVSS 3.1 | CVSS 4.0 | Warum |
|---|---|---|
| Umfang (S) | VC/VI/VA + SC/SI/SA | Anstelle eines Ja/Neins wird separat bewertet, was mit der anfälligen Komponente und was dahinter passiert. |
| Angriffskomplexität (AC) | AC + AT | Was der Angreifer umgeht (AC), ist von dem, worauf er warten oder was er ertragen muss (AT, Angriffsanforderungen), getrennt. |
| Benutzerinteraktion (UI:N/R) | Benutzeroberfläche: N/P/A | Ein absichtlicher Klick und normales Surfen kosten den Angreifer nicht den gleichen Aufwand. |
| Exploit-Reife (E) | E:A/P/U | Drei eindeutige Zustände: Angriffe beobachtet, Proof of Concept veröffentlicht, nichts gemeldet. |
Der obige Rechner bietet vier vorinstallierte Fälle. Am aufschlussreichsten ist „Hypervisor Escape“: ein lokaler Fehler, der in 3.1 unauffällig ist und die virtuellen Gastmaschinen erreicht. Laden Sie es und wechseln Sie dann zu den drei folgenden Systemauswirkungen Keine um den Unterschied zu sehen, den 4.0 ausdrücken kann, und den 3.1 auf ein einziges Bit reduziert.
Was die Zahl bedeutet
Die Schweregrade sind die gleichen wie in 3.1, was für eine ständige Verwirrung sorgt: Eine 8,6 in 4.0 und eine 8,6 in 3.1 beschreiben nicht dasselbe, tragen aber die gleiche Bezeichnung.
| Punktzahl | Schweregrad | Was es in der Praxis bedeutet |
|---|---|---|
| 9.0 – 10.0 | Kritisch | Vollständiger Kompromiss, oft ohne Konto und ohne Klick. Ein erfolgreicher Exploit lässt keine Wünsche offen. |
| 7.0 – 8.9 | Hoch | Starke Auswirkungen, aber eine Bedingung fehlt: ein Konto, ein Klick, lokaler Zugriff. |
| 4.0 – 6.9 | Mittel | Teilweise Auswirkungen oder mehrere Bedingungen müssen erfüllt sein. |
| 0.1 – 3.9 | Niedrig | Geringfügiges Leck, begrenzter Denial-of-Service oder stark eingeschränkte Ausnutzung. |
| 0.0 | Keine | Es wurden keine Auswirkungen auf die Vertraulichkeit, Integrität oder Verfügbarkeit gemeldet. |
Basis, Bedrohung, Umwelt: die neue Nomenklatur
4.0 benennt die Ebenen um, um mit einer schlechten Angewohnheit aufzuhören: einen Basiswert zu veröffentlichen und ihn „den“ Wert zu nennen. Die Namen sind jetzt CVSS-B (nur Basis), CVSS-BT (Basis und Bedrohung), CVSS-BE (Basis und Umwelt) und CVSS-HdO (alles). Der Name verrät, was tatsächlich ausgefüllt wurde.
Die zeitliche Gruppe wird zur Bedrohung Gruppe und schrumpft auf eine einzige Metrik, Exploit-Reife: Remediation Level und Report Confidence sind weg, da sie nie ernsthaft ausgefüllt wurden.
Was es für Sie in der Praxis bedeutet
Drei Gewohnheiten, die die häufigsten Fehler vermeiden:
- Behalten Sie die Originalversion in Ihrem Tracking. Das Präfix
CVSS:4.0/ist Teil des Vektors: Ohne ihn weiß niemand, welche Skala Sie angeben. - Geben Sie die Exploit-Reife ein wenn du es weißt. Es ist das einzige Feld in der Bedrohungsgruppe und dasjenige, bei dem die Punktzahl dem, was auf dem Feld geschieht, am nächsten kommt.
- Priorisieren Sie immer noch nicht nur diese Zahl. 4.0 beschreibt die Auswirkungen besser, sagt aber immer noch nicht die Ausbeutung voraus. Gegenprüfung mit EPSS und KEV: Das ist die Aufgabe von CVE-Überwachung gezielt auf Ihr Anwesen.
Quellen
- CVSS 4.0-Spezifikation — FIRST.org.
- 4.0 Referenzrechner – um eine Punktzahl zu vergleichen.
FAQ
Sollten Sie jetzt auf CVSS 4.0 umsteigen?
Verwenden Sie die Version, die Ihre Quelle veröffentlicht. Der NVD und die meisten CNAs (CVE-Nummerierungsbehörden, die Organisationen, die CVE-Kennungen vergeben) veröffentlichen weiterhin 3.1; einige Anbieter veröffentlichen beide. Einen in 3.1 angegebenen Vektor in 4.0 neu zu berechnen ergibt eine Zahl, die mit nichts vergleichbar ist: Die beiden Skalen lassen sich nicht umrechnen.
Was ersetzt den 3.1 Scope?
Sechs Impact-Metriken statt drei. VC, VI und VA beschreiben, was mit der anfälligen Komponente passiert; SC, SI und SA beschreiben, was mit den Systemen dahinter passiert. Während in 3.1 nur „es schwappt“ gesagt wurde, sagt 4.0, um wie viel und worauf.
Was ist der Unterschied zwischen Komplexität und Angriffsanforderungen?
Komplexität misst, was der Angreifer aktiv umgehen muss: einen Speicherschutz, eine Signaturprüfung. Angriffsanforderungen messen, worauf sie warten oder was sie aushalten müssen: einen Wettlauf zwischen zwei Prozessen, eine bestimmte Auslastung, eine Position im Netzwerk. 3.1 hat die beiden in einem einzigen Feld zusammengefasst.
Was genau deckt dieser Rechner ab?
Der Basisvektor, die Exploit-Reife und die drei Sicherheitsanforderungen (CR, IR, AR), berechnet mit der offiziellen Makrovektortabelle von FIRST.org. Geänderte Umgebungsmetriken (MAV, MSI:S…) und ergänzende Metriken (Automatisierbar, Wiederherstellung, Sicherheit) werden noch nicht unterstützt: Wir würden es lieber sagen, als Sie es herausfinden zu lassen.
Free-Plan, keine Karte
Holen Sie sich nur das CVEs, das betroffen ist Ihr tatsächlicher Nachlass.
Deklarieren Sie Ihre Komponenten einmal. Wir benachrichtigen Sie, sobald ein Fehler einen von KEV und EPSS bereits priorisierten Fehler auf dem Kanal Ihrer Wahl betrifft. Die erste Warnung erlischt bei der nächsten Synchronisierung.
- Free, keine Kreditkarte
- Gebaut und gehostet in Frankreich
- Exportieren Sie Ihre Daten jederzeit