Calcolatrice CVSS 3.0
Per riprodurre un punteggio pubblicato tra il 2015 e il 2019 o verificare un vecchio record di audit. Stesse metriche della versione 3.1, due correzioni di formula e una differenza misurata.
L'unica vera differenza rispetto alla 3.1
Il CVSS 3.0 e 3.1 condividono le stesse metriche, gli stessi valori e lo stesso formato vettoriale: cambia solo il prefisso. La revisione di giugno 2019 ha fissato solo due punti nella formula.
- Una funzione di arrotondamento riscritta nell'aritmetica degli interi, in modo che due implementazioni dello stesso vettore smettano di produrre due numeri diversi a causa dell'aritmetica in virgola mobile.
- La formula dell'impatto modificato, nel punteggio ambientale, quando l'ambito viene modificato.
Un esempio da verificare tu stesso: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:H con il requisito di riservatezza impostato su Basso punteggi 9.6 nella 3.0 e 9.5 nella 3.1. Incollalo qui, poi nel file Calcolatrice 3.1.
Cosa significa il numero
Le fasce di gravità 3.0 sono identiche a quelle di 3.1.
| Punteggio | Gravità | Cosa significa in pratica |
|---|---|---|
| 9.0 – 10.0 | Critico | Compromesso completo, spesso senza account e senza clic. Un exploit riuscito non lascia nulla in piedi. |
| 7.0 – 8.9 | Alto | Impatto pesante, ma manca una condizione: un account, un clic, l'accesso locale. |
| 4.0 – 6.9 | Medio | È necessario che sia soddisfatto un impatto parziale o più condizioni. |
| 0.1 – 3.9 | Basso | Perdita di lieve entità, negazione del servizio limitata o sfruttamento fortemente limitato. |
| 0.0 | Nessuno | Nessun impatto segnalato su riservatezza, integrità o disponibilità. |
Cosa significa per te, in pratica
Questa pagina ha due scopi, e solo due: riprodurre esattamente un punteggio pubblicato tra il 2015 e il 2019, e verificare un vecchio record di audit il cui vettore porta CVSS:3.0/. Per segnare un difetto oggi, usa il Calcolatrice 3.1; per un CVE pubblicato con un vettore 4.0, utilizzare il file Calcolatrice 4.0.
Fonti
- Specifica CVSS 3.0 — FIRST.org.
- CVSS 3.1 Guida per l'utente — la sezione che descrive in dettaglio le due modifiche alla formula.
Domande frequenti
Quando è necessario il 3.0 anziché il 3.1?
Per riprodurre un punteggio pubblicato tra giugno 2015 e giugno 2019 o per verificare un vecchio record di audit. Per tutto il resto usa il Calcolatrice 3.1: è la versione pubblicata oggi da NVD e CNA.
Un vettore 3.0 è valido in 3.1?
I campi e i valori sono rigorosamente identici: cambia solo il prefisso, CVSS:3.0/ contro CVSS:3.1/. Puoi incollare un vettore 3.0 nella calcolatrice 3.1 e viceversa. Vale comunque la pena conservare il prefisso: data la partitura.
Il punteggio base può differire tra 3,0 e 3,1?
Abbiamo calcolato tutti i 2.592 possibili vettori base in entrambe le versioni: nessuna differenza. Sul punteggio base, 3.0 e 3.1 danno sempre lo stesso numero. La differenza appare solo nel punteggio ambientale e solo quando l'Ambito viene modificato.
Dovremmo ricalcolare i nostri vecchi punteggi?
No per i punteggi base, poiché sono identici. Sì per i punteggi ambientali pubblicati nella versione 3.0 con ambito modificato, se la differenza di 0,1 punti ti spinge oltre una soglia di gravità nella tua procedura interna.
Piano Free, nessuna carta
Ottieni solo l'CVEs che interessa il tuo patrimonio immobiliare.
Dichiara i tuoi componenti una volta. Ti avvisiamo non appena un difetto colpisce uno di essi, già prioritario per KEV e EPSS, sul canale di tua scelta. Il primo avviso si spegne alla sincronizzazione successiva.
- Free, nessuna carta di credito
- Costruito e ospitato in Francia
- Esporta i tuoi dati in qualsiasi momento