ⓘ Краткие подсказки
- AV=N — доступ через сеть.
- AC=L — специальных условий не нужно.
- PR=N — предварительная авторизация не нужна.
- UI=N — участие другого пользователя не требуется.
- S=C — влияние выходит за границы компонента.
1
Базовые метрики (Base Score)
Описывают свойства уязвимости, не зависящие от конкретной среды.
Насколько удалённо доступна эксплуатация.
Нужны ли особые условия для атаки.
Какие права нужны до атаки.
Должен ли другой пользователь что-то сделать.
Затрагиваются ли компоненты за границами уязвимого компонента.
Какой объём данных может раскрыться.
Может ли атакующий менять данные.
Может ли атака нарушить работу сервиса.
2
Временные метрики (Temporal Score)
Учитывают доступность эксплойта и исправления на текущий момент.
Насколько доступна эксплуатация.
Есть ли исправление.
Насколько надёжно подтверждена уязвимость.
3
Окружные метрики (Environmental Score)
Учитывают требования и особенности конкретной среды. «X» — не задано / стандартное значение.
Насколько важна конфиденциальность в этой среде.
Насколько важна целостность данных.
Насколько важна непрерывная работа системы.
⌖ Примеры значений
- AV: N, A, L, P
- AC: L, H
- PR: N, L, H
- UI: N, R
- S: U, C
- C/I/A: N, L, H
⬟ Уровни опасности
- 9.0–10.0 — критический
- 7.0–8.9 — высокий
- 4.0–6.9 — средний
- 0.1–3.9 — низкий
- 0.0 — нет воздействия по Base
Примечание
- Расчёт реализован по формулам CVSS v3.1.
- Окружные метрики полезны для оценки конкретного актива.
- CVSS — техническая оценка; приоритизацию патчей дополняйте контекстом эксплуатации и критичности системы.