CVSS включает три группы метрик: базовые (Base), временные (Temporal) и контекстные (Environmental). Обычно используются базовые метрики, так как они описывают основные характеристики уязвимости.
Базовые метрики оценивают основные характеристики уязвимости:
1⃣ Access Vector (AV) — положение атакующего
• Local (L) (0,395): требуется физический доступ или локальная учетная запись.
• Adjacent (A) (0,646): доступ через локальную сеть или домен коллизий.
• Network (N) (1): доступ через сеть.
2⃣ Access Complexity (AC) — сложность атаки
• High (H) (0,35): сложные условия (гонка, соц. инженерия).
• Medium (M) (0,61): доп. требования (специальная конфигурация).
• Low (L) (0,71): минимальные требования.
3⃣ Authentication (Au) — число аутентификаций
• Multiple (M) (0,45): дважды или более.
• Single (S) (0,56): один раз.
• None (N) (0,704): не требуется.
4⃣ Confidentiality (C) — влияние на конфиденциальность
• None (N) (0): нет влияния.
• Partial (P) (0,275): частичное раскрытие данных.
• Complete (C) (0,660): полное раскрытие.
5⃣ Integrity (I) — влияние на целостность
• None (N) (0): нет влияния.
• Partial (P) (0,275): ограниченные изменения данных.
• Complete (C) (0,660): полное изменение данных.
6⃣ Availability (A) — влияние на доступность
• None (N) (0): нет влияния.
• Partial (P) (0,275): частичная деградация.
• Complete (C) (0,660): полная недоступность ресурса.
Пример расчета BaseScore
Оценка BaseScore рассчитывается по следующим формулам. Значения для параметров выбираются из таблицы, приведенной выше. Дробные результирующие числа следует округлять до первого десятичного разряда, что ниже выражается через функцию roundTo1Decimal. Подробнее о формулах можно почитать ЗДЕСЬ
Exploitability = 20 × AccessVector × AccessComplexity × Authentication
Impact = 10,41 × ( 1 − ( 1 − C ) × ( 1 − I ) × ( 1 − A ) )
BaseScore = roundTo1Decimal ( ( ( 0 , 6 × Impact ) + ( 0 , 4 × Exploitability ) − 1 , 5 ) × f( Impact ) )