Calculateur CVSS

En 3.0 et 3.1, par des formules : chaque valeur a un poids, et les poids forment un sous-score d’exploitabilité et un sous-score d’impact, additionnés puis arrondis au dixième supérieur. En 4.0, chaque vecteur appartient à l’une de 270 familles de vecteurs équivalents, dont une table donne le score ; il s’en écarte selon sa distance aux vecteurs les plus graves de sa famille. Ce calculateur applique la même méthode que les calculateurs du FIRST, qui publie le standard.

La 4.0 sépare l’impact sur le système vulnérable de l’impact sur les systèmes qu’il permet d’atteindre, là où la 3.1 parlait de portée. Elle ajoute les prérequis de l’attaque, distingue une interaction utilisateur passive d’une active, remplace les métriques temporelles par la maturité de l’exploitation et ajoute des métriques supplémentaires, sans effet sur le score. Les deux scores d’une même vulnérabilité ne se comparent pas.

Les métriques sont les mêmes, mais la 3.1 a corrigé deux défauts de calcul : un arrondi sensible aux erreurs de calcul des ordinateurs, qui ajoutait parfois 0,1, et une formule environnementale qui pouvait baisser quand une exigence de sécurité augmentait. L’écart, rare, ne dépasse pas quelques dixièmes.

Pas forcément. Le score mesure la gravité technique, pour un système quelconque. Une faille critique sur un service exposé à Internet qui traite des données de santé n’a pas le poids de la même faille sur un outil interne isolé. Les métriques environnementales, l’impact métier de nos rapports et l’analyse de risques font ce lien.

Non. Le calcul se fait dans votre navigateur. Le vecteur est placé après le « # » de l’adresse, une partie que le navigateur n’envoie jamais au serveur ; notre mesure d’audience l’ignore aussi.

Chaque vulnérabilité de nos rapports de test d’intrusion porte son vecteur CVSS, que cette page lit et explique, avec son impact pour votre activité, les étapes pour la reproduire et une correction adaptée. L’ordre des corrections tient compte du score comme de l’impact.