CVSS 3.0 rekenmachine
Om een partituur te reproduceren die tussen 2015 en 2019 is gepubliceerd, of om een oud auditrecord te raadplegen. Dezelfde statistieken als 3.1, twee formuleverbeteringen – en een gemeten verschil.
Het enige echte verschil met 3.1
De CVSS 3.0 en 3.1 delen dezelfde metrieken, dezelfde waarden en hetzelfde vectorformaat: alleen het voorvoegsel verandert. Bij de herziening van juni 2019 werden slechts twee punten in de formule vastgelegd.
- Een afrondingsfunctie die is herschreven in de rekenkunde met gehele getallen, zodat twee implementaties van dezelfde vector niet langer twee verschillende getallen produceren vanwege de rekenkunde met drijvende komma.
- De formule voor gewijzigde impact, in de milieuscore, wanneer de reikwijdte wordt gewijzigd.
Een voorbeeld om zelf te controleren: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:H met de vertrouwelijkheidseis ingesteld op Laag scoort 9.6 in 3.0 en 9.5 in 3.1. Plak het hier en vervolgens in het 3.1 rekenmachine.
Wat het getal betekent
De ernstbanden van 3.0 zijn identiek aan die van 3.1.
| Scoren | Ernst | Wat het in de praktijk betekent |
|---|---|---|
| 9.0 – 10.0 | Kritisch | Volledig compromis, vaak zonder account en zonder klik. Een succesvolle exploit laat niets overeind. |
| 7.0 – 8.9 | Hoog | Grote impact, maar één voorwaarde ontbreekt: een account, een klik, lokale toegang. |
| 4.0 – 6.9 | Gemiddeld | Er moet aan een gedeeltelijke impact of aan meerdere voorwaarden worden voldaan. |
| 0.1 – 3.9 | Laag | Klein lek, beperkte denial-of-service of zwaar beperkte exploitatie. |
| 0.0 | Geen | Er is geen gerapporteerde impact op de vertrouwelijkheid, integriteit of beschikbaarheid. |
Wat het voor u betekent, in de praktijk
Deze pagina dient twee doelen, en slechts twee: het exact reproduceren van een partituur gepubliceerd tussen 2015 en 2019, en het controleren van een oud auditrecord waarvan de vector CVSS:3.0/. Om vandaag een fout te scoren, gebruik je de 3.1 rekenmachine; voor een CVE gepubliceerd met een 4.0-vector gebruikt u de 4.0 rekenmachine.
Bronnen
- CVSS 3.0-specificatie — FIRST.org.
- CVSS 3.1 Gebruikershandleiding — het gedeelte waarin de twee formulewijzigingen worden beschreven.
Veelgestelde vragen
Wanneer heb je 3.0 nodig in plaats van 3.1?
Om een partituur te reproduceren die tussen juni 2015 en juni 2019 is gepubliceerd, of om een oud auditrecord te controleren. Voor al het andere gebruik je de 3.1 rekenmachine: het is de versie die de NVD en CNA's vandaag publiceren.
Is een 3.0-vector geldig in 3.1?
De velden en waarden zijn strikt identiek: alleen het voorvoegsel verandert, CVSS:3.0/ versus CVSS:3.1/. U kunt een 3.0-vector in de 3.1-rekenmachine plakken, en omgekeerd. Het voorvoegsel is nog steeds de moeite waard om te behouden: het dateert de partituur.
Kan de basisscore verschillen tussen 3,0 en 3,1?
We hebben alle 2.592 mogelijke basisvectoren in beide versies berekend: geen verschil. Op de basisscore geven 3.0 en 3.1 altijd hetzelfde getal. Het verschil komt alleen tot uiting in de milieuscore, en alleen als de reikwijdte wordt gewijzigd.
Moeten we onze oude scores opnieuw berekenen?
Nee voor basisscores, aangezien deze identiek zijn. Ja voor milieuscores gepubliceerd in 3.0 met een gewijzigde reikwijdte, als het verschil van 0,1 punt u over een ernstdrempel in uw interne procedure duwt.
Free-abonnement, geen kaart
Koop alleen de CVEs die van invloed is uw werkelijke vermogen.
Declareer uw onderdelen eenmalig. We waarschuwen u zodra een fout een van hen treft, die al prioriteit heeft gekregen van KEV en EPSS, op het kanaal van uw keuze. De eerste waarschuwing gaat uit bij de volgende synchronisatie.
- Free, geen creditcard
- Gebouwd en gehost in Frankrijk
- Exporteer uw gegevens op elk gewenst moment