CVSS

CVSS (Common Vulnerability Scoring System) to otwarty standard opisu i punktowej oceny powagi podatności w oprogramowaniu, sprzęcie i firmware ^[1]. Wynik mieści się w skali od 0,0 do 10,0 i jest wyliczany z metryk opisujących sposób wykorzystania luki oraz jej skutki ^[1]. Standard należy do organizacji FIRST.Org, Inc., amerykańskiej organizacji non-profit, i jest przez nią rozwijany ^[2]. Sekurak opisuje CVSS jako sposób na „wycenę” podatności w skali od 0 do 10 ^[5].

Jak działa

Oceniający odpowiada na zestaw pytań o podatność. Każda odpowiedź to wartość metryki, a komplet wartości zapisuje się jako wektor, na przykład CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N ^[1]. Z wektora kalkulator wylicza liczbę, a liczbę tłumaczy się na słowną kategorię powagi. Wektor jest ważniejszy od samej liczby, bo pokazuje, skąd wynik się wziął.

RYS. 1Od opisu podatności do oceny CVSS

Metryki podstawowe dzielą się na dwie grupy. Grupa wykorzystania (Exploitability) w wersji 4.0 obejmuje wektor ataku, złożoność ataku, wymagania ataku, wymagane uprawnienia i interakcję użytkownika ^[1]. Grupa skutków (Impact) mierzy wpływ na poufność, integralność i dostępność, osobno dla systemu podatnego i dla systemów następczych ^[1]. W wersji 3.1 podstawowych metryk jest osiem: wektor ataku (AV), złożoność (AC), wymagane uprawnienia (PR), interakcja użytkownika (UI), zakres (S) oraz poufność, integralność i dostępność (C, I, A) ^[2].

Każda metryka ma kilka dopuszczalnych wartości. W wersji 3.1 wektor ataku przyjmuje wartości sieć (N), sieć sąsiednia (A), dostęp lokalny (L) i fizyczny (P) ^[2]. Złożoność ataku jest niska (L) albo wysoka (H), wymagane uprawnienia to brak (N), niskie (L) lub wysokie (H), a interakcja użytkownika jest zbędna (N) albo wymagana (R) ^[2]. Zakres ma wartość niezmieniony (U) lub zmieniony (C), a każdy ze skutków dla poufności, integralności i dostępności ocenia się jako wysoki, niski albo żaden ^[2]. Najwyższe wyniki dostają więc podatności osiągalne przez sieć, proste w użyciu, niewymagające konta ani udziału ofiary.

Obie wersje stosują tę samą skalę jakościową ^{[1] [2]}.

Wersje i grupy metryk

Wersja 4.0 ukazała się 1 listopada 2023 roku ^[1]. Definiuje cztery grupy metryk: podstawową (Base), zagrożenia (Threat), środowiskową (Environmental) i uzupełniającą (Supplemental) ^[1]. Specyfikacja wprowadza też nazewnictwo wyniku zależne od użytych grup: CVSS-B to same metryki podstawowe, CVSS-BT dodaje zagrożenie, CVSS-BE środowisko, a CVSS-BTE wszystkie trzy ^[1]. Sekurak przewidywał, że najczęściej używany będzie wariant CVSS-B ^[5].

Względem wersji 3.1 doszła metryka wymagań ataku (AT), interakcja użytkownika ma trzy wartości zamiast dwóch, a skutki rozdzielono na system podatny (VC, VI, VA) i systemy następcze (SC, SI, SA) ^[5]. Ta sama publikacja zwraca uwagę, że kalkulator bywał stosowany „dość luźno” już w wersji 3.1 ^[5]. Dwie organizacje mogą więc ocenić ten sam błąd inaczej.

W WordPressie

Komunikaty o podatnościach wtyczek i motywów zwykle łączą identyfikator CVE, klasę słabości CWE i ocenę CVSS. Dokumentacja bazy Patchstack stosuje dla CVSS progi Low 0,0–3,9, Medium 4,0–6,9, High 7,0–8,9 i Critical od 9,0 ^[4].

W ekosystemie WordPressa duże znaczenie ma metryka wymaganych uprawnień. Specyfikacja przewiduje dla niej wartości None, Low i High ^[2]. Ta sama klasa błędu, na przykład XSS (Cross-Site Scripting) albo wstrzyknięcie SQL, dostaje inną ocenę, gdy do wykorzystania wystarczy anonimowy gość, a inną, gdy potrzebne jest konto administratora. Dlatego podatność wykorzystywana bez uwierzytelnienia zwykle ląduje wyżej w skali niż błąd dostępny tylko dla zalogowanych, a znaczenie mają role i uprawnienia użytkowników na konkretnej stronie.

Patchstack obok CVSS stosuje własny priorytet łatania. Wysoki priorytet oznacza oprogramowanie, które według tej dokumentacji ma być masowo atakowane albo ma już znaną wykorzystywaną podatność ^[4]. Średni dotyczy wersji, które nie powinny być atakowane masowo, ale mogą paść ofiarą ataków celowanych ^[4]. Priorytet i CVSS mierzą więc różne rzeczy: pierwszy prawdopodobieństwo ataku, drugi techniczną powagę.

Znaczenie i ograniczenia

CVSS służy do porównywania luk i ustalania kolejności prac w zarządzaniu podatnościami i zarządzaniu poprawkami. Specyfikacja 4.0 zaznacza jednak, że standard opisuje techniczne cechy podatności, a wymagania regulacyjne, skutki biznesowe i reputacyjne pozostają poza jego zakresem ^[1]. Wynik CVSS nie jest więc oceną ryzyka dla konkretnej organizacji.

Uzupełnieniem jest EPSS. FIRST opisuje EPSS jako model uczenia maszynowego, który szacuje prawdopodobieństwo wykorzystania opublikowanej podatności CVE w ciągu najbliższych 30 dni ^[3]. Wyniki są publikowane codziennie ^[3]. Trzecim sygnałem jest katalog KEV, czyli lista podatności wykorzystywanych w praktyce.

Dobre praktyki

• Czytać wektor, nie tylko liczbę. Wartości AV:N i PR:N oznaczają atak przez sieć bez konta.
• Uzupełniać metryki środowiskowe o wiedzę o własnej stronie: czy podatna funkcja jest włączona i kto ma do niej dostęp ^[1].
• Łączyć CVSS z danymi o wykorzystaniu, takimi jak EPSS albo priorytet dostawcy bazy ^{[3] [4]}.
• Po wydaniu łatki instalować ją według kolejności wynikającej z tych sygnałów, a nie wyłącznie według kategorii Critical.

Historia i przykłady

31 grudnia 2025 roku Sekurak opisał podatność CVE-2025-68615 w pakiecie Net-SNMP, ocenioną na 9,8 w skali 10 ^[6]. Było to przepełnienie bufora na stosie w demonie snmptrapd, a według artykułu atakujący nie musiał mieć specjalnych uprawnień ^[6]. Poprawki przyniosły wersje 5.9.5 i 5.10.pre2 ^[6]. Przykład pokazuje typowy wzorzec wysokiego wyniku: atak przez sieć, brak wymaganych uprawnień i brak interakcji ofiary.