Common Vulnerability Scoring System (CVSS)

Das Common Vulnerability Scoring System (CVSS) ist ein von FIRST gepflegtes, offenes Bewertungssystem. Es beschreibt technische Merkmale und den Schweregrad einer Sicherheitslücke in standardisierter Form. Das Ergebnis kann als Zahlenwert von 0,0 bis 10,0 und als maschinenlesbarer Vektor angegeben werden.

Bewertung nach CVSS v4.0

Die aktuelle Fassung CVSS v4.0 unterscheidet vier Gruppen von Metriken. Die Base Metrics beschreiben die grundlegenden technischen Merkmale und Auswirkungen einer Schwachstelle. Threat Metrics berücksichtigen unter anderem, ob eine Ausnutzung bereits beobachtet wurde. Environmental Metrics passen die Bewertung an den konkreten Einsatzkontext und die Bedeutung betroffener Systeme an. Supplemental Metrics liefern zusätzliche Angaben, verändern den berechneten Wert aber nicht.

Bei den Auswirkungen betrachtet CVSS unter anderem Beeinträchtigungen von Vertraulichkeit, Integrität und Verfügbarkeit.

Bedeutung der Werte

0,0: keine Schwere (None)
0,1 bis 3,9: niedrig (Low)
4,0 bis 6,9: mittel (Medium)
7,0 bis 8,9: hoch (High)
9,0 bis 10,0: kritisch (Critical)

CVSS ist nicht dasselbe wie CVE oder Risiko

Eine CVE-Kennung identifiziert eine öffentlich bekannte Schwachstelle. CVSS bewertet dagegen deren Merkmale und Schweregrad. Der CVSS-Wert ist außerdem weder eine unmittelbare Aussage über die Eintrittswahrscheinlichkeit noch allein eine ausreichende Prioritätenliste für Sicherheitsupdates.

Für die praktische Risikobewertung sind zusätzlich etwa die Erreichbarkeit des Systems, die Bedeutung des betroffenen Assets, vorhandene Schutzmaßnahmen, aktuelle Bedrohungsinformationen und eine bereits beobachtete Ausnutzung zu berücksichtigen. Eine über das Internet erreichbare Schwachstelle mit Remote Code Execution (RCE) kann deshalb besonders dringlich sein, ohne dass sich die Priorität allein aus einem Zahlenwert ableiten lässt.

Einsatz im Schwachstellenmanagement

CVSS erleichtert es, Schwachstellen einheitlich zu dokumentieren, zu vergleichen und technisch einzuordnen. Für eine belastbare Priorisierung sollten Verantwortliche neben dem Wert auch den CVSS-Vektor auswerten, Threat- und Environmental-Metriken anpassen und die Bewertung aktualisieren, wenn sich die Bedrohungslage oder der Einsatzkontext ändert.

Weiterführende Quellen

Die Spezifikation und ein Rechner für CVSS v4.0 sind bei FIRST verfügbar: CVSS-v4.0-Spezifikation und CVSS-v4.0-Rechner.

Cyber-Security-Glossar