Glossaire
Vecteur CVSS
La chaîne de texte qui détaille, métrique par métrique, comment une note CVSS a été obtenue.
Le vecteur CVSS est la forme textuelle d'une note : la liste des valeurs retenues pour chaque métrique. Il permet de comprendre pourquoi une faille obtient sa note, et de la recalculer. Exemple courant en v3.1 : CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, qui correspond à une note de 9,8.
Les métriques de base v3.1 : AV, vecteur d'attaque (N réseau, A adjacent, L local, P physique) ; AC, complexité (L basse, H haute) ; PR, privilèges requis (N aucun, L faibles, H élevés) ; UI, interaction utilisateur (N aucune, R requise) ; S, portée (U inchangée, C changée) ; C, I et A, impact sur la confidentialité, l'intégrité et la disponibilité (N, L ou H).
La v4.0 ajoute AT (prérequis d'attaque), distingue l'impact sur le système vulnérable (VC, VI, VA) de l'impact sur les systèmes en aval (SC, SI, SA), et décline UI en None, Passive ou Active. Dans les deux versions, AV:N avec PR:N et UI:N décrit une faille exploitable à distance, sans compte ni action de la victime : le profil à traiter en premier.
Termes liés
- CVSSSystème de notation de la gravité d'une vulnérabilité, de 0,0 à 10,0, maintenu par le FIRST.
- EPSSProbabilité, de 0 à 1, qu'une CVE soit exploitée dans les 30 prochains jours, publiée par le FIRST.
- CWEListe des types de faiblesses logicielles et matérielles : la catégorie d'erreur derrière une CVE.