CVSS v4.0：IT 漏洞指标

CVSS v4.0：开发者漏洞评分指标详解

CVSS 提供 0 到 10 的标准化分数，用于评估漏洞严重性。基础分数反映漏洞的固有特性，与具体环境无关。NVD 为公开 CVE 发布这些分数，v4.0 版本优化了指标以提升精确度。

开发者依赖 CVSS 优先处理补丁：分数超过 7 的需立即行动，尤其是存在概念验证（PoC）利用代码时。关注攻击路径和影响，能有效区分理论风险与实际威胁。

基础指标：评分的基石

基础指标组捕捉漏洞的固定属性。

• 攻击向量 (AV)：网络 (N) —— 远程攻击；相邻 (A) —— 本地网络；本地 (L) —— 直接访问；物理 (P) —— 物理篡改。
• 攻击复杂度 (AC)：低 —— 简单直接；高 —— 需要如中间人攻击等条件。
• 所需权限 (PR)：无 —— 无需认证；低 —— 基本权限；高 —— 管理员访问。
• 用户交互 (UI)：无 —— 全自动；需 —— 用户点击或打开文件。

影响评估覆盖 CIA 三元组：

• 机密性 (C)：无/低/高 —— 数据泄露严重程度。
• 完整性 (I)：无/低/高 —— 修改潜力。
• 可用性 (A)：无/低/高 —— 拒绝服务影响。

示例：CVE-2021-44228（Log4Shell），AV:N/AC:L/PR:N/UI:N，所有 CIA 均为高，分数完美 10.0。

时效指标：适应威胁演变

时效指标根据当前情况调整基础分数。

| 指标 | 描述 | 分数影响 |

|--------|-------------|---------------|

| 利用代码成熟度 (E) | 无/PoC/高 | 可用代码越多分数越高 |

| 修复水平 (RL) | 无/变通方案/官方 | 有补丁分数降低 |

| 报告置信度 (RC) | 低/中/高 | 不确定性高分数降低 |

EternalBlue（CVE-2017-0144，基础 8.1）在 WannaCry 爆发 PoC 利用后，因高 E 值转为致命。

环境指标：适配你的部署

环境指标允许调整基础指标（如修改 AV、AC）以匹配你的环境。额外需求包括：

• 机密性需求 (CR)：PCI DSS 数据为高。
• 完整性需求 (IR)：配置文件为高。
• 可用性需求 (AR)：关键服务为高。

在气隙网络中，AV:N 降为 AV:L，分数降低 2–3 分。

CVSS 分数等级与优先级规则

| 范围 | 等级 | 行动 |

|-------|-------|--------|

| 0 | 无 | 忽略 |

| 0.1–3.9 | 低 | 监控 |

| 4.0–6.9 | 中 | 评估上下文 |

| 7.0–8.9 | 高 | 紧急修补 |

| 9.0–10.0 | 严重 | 立即修补 |

中高级开发者规则：

• CVSS ≥9.0 + PoC = 最高优先级修补。
• 未用组件任何分数 = 移除它们。
• 在 CI/CD 管道中验证修改指标。

真实案例

• Log4Shell：通过日志实现完整 RCE，基础 10.0。
• Follina (CVE-2022-30190)：7.8，APT 利用后升级为高危。
• CVE-2024-40711 (Veeam)：认证绕过 RCE，对备份系统致命。

将 CVSS 集成到 Trivy 或 Dependency-Check 等扫描工具中。

可靠数据来源

CVE 验证：

• cve.org —— 官方注册库。
• NVD —— CVSS、CWE、CPE 详情。
• Exploit-DB —— PoC 利用代码。
• OWASP —— Top 10、测试指南。
• PortSwigger Academy —— Web 攻击实验。

避开未经验证的炒作来源。

核心要点

• 基础分数是起点；时效和环境指标使其贴合实际。
• 网络 + 无权限 + 高 CIA = 始终 ≥9.0。
• 将 CVSS 嵌入仓库扫描自动化。
• 验证 PoC 再拉响警报。
• 生产环境始终使用修改指标。

— Editorial Team