Calculadora CVSS 4.0
La última versión separa el impacto en el componente vulnerable del impacto en lo que se encuentra detrás de él. Construya el vector y vea qué cambia esa separación.
Qué cambia el 4.0, campo a campo
el CVSS 4.0 fue publicado por FIRST.org en noviembre de 2023 en respuesta a una queja recurrente: en 3.1, la mitad de todos los CVEs se agruparon en un puñado de puntuaciones, y la calificación decía poco sobre el impacto real. Cuatro cambios llevan la mayor parte del peso.
| CVSS 3.1 | CVSS 4.0 | ¿Por qué? |
|---|---|---|
| Alcance (S) | VC/VI/VA + SC/SI/SA | En lugar de un sí/no, lo que sucede con el componente vulnerable y lo que sucede detrás de él se califican por separado. |
| Complejidad del ataque (AC) | CA + AT | Lo que el atacante soluciona (AC) está separado de lo que debe esperar o soportar (AT, Requisitos de ataque). |
| Interacción del usuario (UI:N/R) | Interfaz de usuario: N/P/A | Un clic deliberado y una navegación normal no le cuestan al atacante el mismo esfuerzo. |
| Madurez de explotación (E) | E:A/P/U | Tres estados bien definidos: ataques observados, prueba de concepto publicada, nada informado. |
La calculadora de arriba ofrece cuatro casos precargados. El más revelador es el “escape del hipervisor”: una falla local, sin complicaciones en 3.1, que llega a las máquinas virtuales invitadas. Cárguelo, luego cambie los tres efectos posteriores del sistema a Ninguno para ver la diferencia que puede expresar el 4.0, y el 3.1 reducido a un solo bit.
que significa el numero
Las bandas de gravedad son las mismas que en 3.1, lo que mantiene una confusión constante: un 8,6 en 4.0 y un 8,6 en 3.1 no describen lo mismo, pero llevan la misma etiqueta.
| Puntuación | Gravedad | Lo que significa en la práctica |
|---|---|---|
| 9.0 – 10.0 | Crítico | Compromiso total, a menudo sin cuenta ni clic. Una explotación exitosa no deja nada en pie. |
| 7.0 – 8.9 | Alto | Fuerte impacto, pero falta una condición: una cuenta, un clic, acceso local. |
| 4.0 – 6.9 | Medio | Impacto parcial o se deben cumplir varias condiciones. |
| 0.1 – 3.9 | Bajo | Fuga menor, denegación de servicio limitada o explotación muy restringida. |
| 0.0 | Ninguno | No se informó ningún impacto en la confidencialidad, la integridad o la disponibilidad. |
Base, amenaza, ambiental: la nueva nomenclatura
4.0 cambia el nombre de las capas para romper con un mal hábito: publicar una puntuación base y llamarla "la" puntuación. Los nombres son ahora CVSS-B (solo base), CVSS-BT (base y amenaza), CVSS-BE (base y ambiental) y CVSS-BTE (todo). El nombre dice lo que realmente se completó.
El grupo temporal se convierte en el amenaza grupo y se reduce a una sola métrica, la madurez del exploit: el nivel de remediación y la confianza del informe han desaparecido, ya que nunca se han completado en serio.
Lo que significa para ti, en la práctica
Tres hábitos que evitan los errores más comunes:
- Mantener la versión original en su seguimiento. el prefijo
CVSS:4.0/es parte del vector: sin él, nadie sabrá qué escala estás citando. - Complete la madurez del exploit cuando lo sepas. Es el único campo del grupo de amenaza, y el que acerca el marcador a lo que ocurre en el campo.
- Aún así, no le des prioridad únicamente a este número. 4.0 describe mejor el impacto, pero todavía no predice la explotación. Verificación cruzada con EPSS y KEV: ese es el trabajo de Monitoreo CVE dirigido a su patrimonio.
Fuentes
- Especificación CVSS 4.0 — FIRST.org.
- calculadora de referencia 4.0 - para verificar una puntuación.
Preguntas frecuentes
¿Deberías cambiar a CVSS 4.0 ahora?
Utilice la versión que publica su fuente. El NVD y la mayoría de los CNA (Autoridades de numeración CVE, las organizaciones que asignan identificadores CVE) todavía publican 3.1; algunos proveedores publican ambos. Recalcular en 4.0 un vector dado en 3.1 produce un número comparable a nada: las dos escalas no se convierten.
¿Qué reemplaza al Alcance 3.1?
Seis métricas de impacto en lugar de tres. VC, VI y VA describen lo que sucede con el componente vulnerable; SC, SI y SA describen lo que sucede con los sistemas detrás de esto. Donde 3.1 solo decía “se desborda”, 4.0 dice en cuánto y sobre qué.
¿Cuál es la diferencia entre complejidad y requisitos de ataque?
La complejidad mide lo que el atacante debe sortear activamente: una protección de la memoria, una verificación de firma. Los requisitos de ataque miden lo que deben esperar o soportar: una carrera entre dos procesos, una carga particular, una posición en la red. 3.1 agrupé los dos en un solo campo.
¿Qué cubre exactamente esta calculadora?
El vector base, la madurez del exploit y los tres requisitos de seguridad (CR, IR, AR), calculados con la tabla de macrovectores oficial de FIRST.org. Las métricas ambientales modificadas (MAV, MSI:S…) y las métricas complementarias (Automatizable, Recuperación, Seguridad) aún no son compatibles: preferiríamos decírtelo antes que permitirte que lo descubras.
Plan Free, sin tarjeta
Obtenga solo el CVEs que afecta su patrimonio real.
Declare sus componentes una vez. Te avisamos en cuanto un fallo afecte a uno de ellos, ya priorizado por KEV y EPSS, en el canal de tu elección. La primera alerta se activa en la siguiente sincronización.
- Free, sin tarjeta de crédito
- Construido y alojado en Francia
- Exporta tus datos en cualquier momento